Malware Maverick: Relatório Acionável para Equipes SOC

Análise do Trojan Maverick

O trojan Maverick é um malware bancário sofisticado direcionado ao Brasil que utiliza engenharia social através do WhatsApp Web para entregar arquivos ZIP maliciosos contendo atalhos LNK, que acionam carregadores PowerShell e .NET ofuscados para uma cadeia de infecção sem arquivos. O malware verifica se o sistema da vítima está localizado no Brasil (via fuso horário, localidade, verificações de região), em seguida monitora sessões de navegador e tem como alvo uma lista codificada de bancos brasileiros, exchanges de criptomoedas e plataformas de pagamento. Sobreposições de código ligam o Maverick à campanha anterior do Trojan Coyote, mas sua arquitetura e métodos de propagação representam uma evolução. Este relatório equipa equipes SOC com o fluxo de ataque, principais indicadores de comprometimento (IOCs), consultas de detecção, controles de mitigação e diretrizes de simulação necessárias para defender contra o Maverick.

Investigação de Malware Maverick

Pesquisadores observaram que o vetor inicial de infecção do Maverick é um arquivo ZIP entregue via WhatsApp Web, que contém um arquivo LNK malicioso. O LNK executa uma cadeia PowerShell que baixa um carregador inicial de um servidor C2 (por exemplo, sorvetenopote[.]com). O carregador decodifica e executa um assembly .NET inteiramente na memória sem criar arquivos no disco. Um ramo de execução instala um módulo infectante para WhatsApp usando Selenium e WPPConnect para sequestrar sessões de navegador e se propagar. O segundo ramo carrega a carga útil bancária do Maverick (“Maverick.Agent”) que garante que a vítima seja brasileira (fuso horário entre UTC−5 e UTC−2, localidade “pt-BR”), estabelece persistência via um arquivo bat HealthApp-<GUID>.bat na pasta de Inicialização, monitora janelas de navegador em primeiro plano para uma lista comprimida/criptografada de URLs bancários, e quando há uma correspondência, descriptografa um módulo e o executa para realizar roubo de credenciais, keylogging, captura de tela, phishing por sobreposição e comunicação C2. Muitos padrões de reutilização de código e rotinas idênticas de criptografia AES/GZIP ligam o Maverick ao Coyote.

Mitigação de Exploit Maverick

Para defender-se contra o Maverick, as equipes SOC devem impor controles rigorosos e defesas em camadas. Limitar ou bloquear o uso do WhatsApp Web para funcionários com acesso a sistemas sensíveis. Implementar treinamentos de conscientização sobre phishing com foco em anexos ZIP e atalhos de plataformas de mensagens. Aplicar políticas rigorosas de execução de PowerShell (por exemplo, restringir scripts Não Assinados, registrar uso intenso, bloquear padrões IEX DownloadString). Monitorar a criação de arquivos batch incomuns em pastas de inicialização (por exemplo, “HealthApp-*.bat”). Usar soluções de detecção e resposta de endpoint (EDR) capazes de detectar carregamento refletivo .NET e execução de shellcode Donut na memória. Bloquear domínios maliciosos conhecidos e infraestrutura C2, como sorvetenopote[.]com e zapgrande[.]com nas camadas de DNS/firewall. Manter assinaturas de antivírus/EDR atualizadas e feeds de ameaças, e desativar ou monitorar ferramentas de sequestro automático de sessões de navegador.

Como Responder ao Malware Bancário Maverick

Quando uma possível infecção pelo Maverick for detectada, os respondedores de incidentes devem isolar imediatamente o host afetado e iniciar uma investigação forense. Usar consultas de detecção no seu SIEM/EDR para encontrar invocações de PowerShell de DownloadString de domínios suspeitos, execução de .NET refletiva em memória, e subprocessos lançando arquivos de lote de pastas de Inicialização. Quarentenar quaisquer arquivos de lote com o nome “HealthApp-<GUID>.bat” e bloquear domínios e IPs C2 associados. Revisar perfis de navegador para ferramentas de automação não autorizadas, como ChromeDriver ou Selenium. Redefinir credenciais bancárias para quaisquer usuários impactados e impor autenticação multifator (MFA) em todos os acessos a serviços financeiros. Garantir limpeza completa verificando se não há módulos residuais do Maverick. O agente permanece, e conduzir uma varredura completa de malware na rede.

Carga Útil do Trojan Maverick

Instruções de Simulação

Pré-requisito: O Check de Pré voo de Telemetria & Baseline deve ter sido aprovado.

Justificativa: Esta seção detalha a execução precisa da técnica do adversário (TTP) projetada para acionar a regra de detecção. Os comandos e a narrativa DEVEM refletir diretamente os TTPs identificados e objetivar gerar a telemetria exata esperada pela lógica de detecção. Exemplos abstratos ou não relacionados levarão a diagnósticos errôneos.

• Narrativa do Ataque & Comandos:

  1. Reconhecimento Inicial (nenhum impacto para a regra, omitido).
  2. Contato C2: O adversário lança um one-liner PowerShell que resolvezapgrande.com e realiza uma solicitação HTTP GET, imitando o beacon do malware. Isso gera um evento Sysmon NetworkConnect comDestinationHostname = zapgrande.com.
  3. Recuperação de Carga: Imediatamente após o GET, o script baixa uma pequena carga executável do mesmo host, armazenada em%TEMP%.

  O atacante usa o nativoInvoke-WebRequest para evitar criar um binário malicioso separado e permanecer “vivendo da terra”.

• Script de Teste de Regressão:

  # -------------------------------------------------
  # Script de simulação para contato de domínio C2 do Maverick
  # -------------------------------------------------
  $maliciousDomains = @("zapgrande.com","sorvetenopote.com")
  foreach ($domain in $maliciousDomains) {
      try {
          Write-Host "[*] Contatando host C2: $domain"
          # Resolver DNS (cria logs de consulta DNS)