O Holograma do OpenClaw Entrega um Instalador Falso e Rust Infostealer

Ruslan Mikhalov Chefe de Pesquisa de Ameaças na SOC Prime

Seguir

O Holograma do OpenClaw Entrega um Instalador Falso e Rust Infostealer

Detection stack

AIDR
Alert
ETL
Query

Relatório de Ameaça
Fluxo de Ataque
Detecções
Simulações

Resumo

Um sofisticado infostealer baseado em Rust está sendo disseminado através de um instalador falso do OpenClaw. O dropper inicial, monitorado como Hologram, aplica várias técnicas de evasão de sandbox antes de implantar um implante modular de seis componentes. A operação também abusa de plataformas legítimas como Azure DevOps, Telegram e Hookdeck para comando e controle e entrega de dead-drop. Seu principal objetivo é roubar credenciais de extensões de navegador de carteiras de criptomoedas e gerenciadores de senhas.

Investigação

O Netskope Threat Labs examinou duas ondas de campanha, Hologram e Pathfinder, e mapeou toda a cadeia de infecção desde o instalador fraudulento até os módulos finais de roubo de credenciais. Sua análise revelou verificações anti-VM, um requisito de movimentação do mouse, um executor do PowerShell que desativa o Microsoft Defender, e vários métodos de persistência, incluindo chaves de Run, um Winlogon userinit redirecionamento, tarefas agendadas e sequestro de COM. Os pesquisadores também observaram frequentes mudanças de infraestrutura entre domínios, canais do Telegram e webhooks do Hookdeck.

Mitigação

Os defensores devem bloquear downloads do falso instalador do OpenClaw e monitorar o grande arquivo PE Rust de 130 MB associado à campanha. As equipes de segurança também devem detectar a criação do atalho OneDriveSync.lnk na pasta de Inicialização e monitorar modificações no registro envolvendo Winlogon userinit. O acesso de saída para Azure DevOps, API do Telegram e endpoints do Hookdeck deve ser rigorosamente controlado em sistemas não destinados a desenvolvedores. Regras de firewall também devem impedir conexões de entrada nas portas 56001 até 57002.

Resposta

Se a ameaça for detectada, isole o ponto de extremidade afetado imediatamente, colete os binários descartados e arquivos relacionados, e realize uma análise forense das mudanças no registro e artefatos de tarefa agendada. Quaisquer tokens do Azure DevOps expostos devem ser revogados, e credenciais de bot do Telegram comprometidas devem ser rotacionadas. O conteúdo de detecção deve então ser atualizado para incluir o mutex observado, nomes de arquivos e indicadores de rede. As partes interessadas relevantes devem ser informadas e considerar o reporte ao CERT ou aos provedores de serviço impactados.

"graph TB %% Class definitions classDef technique fill:#ffcc99 classDef action fill:#99ccff classDef tool fill:#cccccc classDef file fill:#ffe699 classDef process fill:#ff9999 classDef shortcut fill:#c2f0c2 classDef registry fill:#c2d6f0 classDef scheduled fill:#f0c2c2 classDef c2 fill:#d9c2f0 %% Node definitions file_openclaw["Arquivo: OpenClaw_x64.exe Tipo: Instalador falso"] class file_openclaw file initial_access["Técnica – T1204.002 Execução pelo Usuário: Arquivo Malicioso Descrição: A vítima executa instalador malicioso a partir de openclawu2011installer.com"] class initial_access technique defense_evasion_vm["Técnica – T1497.002 Evasão de Virtualização/Sandbox: Verificações Baseadas em Atividades do Usuário Descrição: O dropper verifica VM, impressões digitais de hardware e aguarda o movimento do mouse"] class defense_evasion_vm technique defense_evasion_firewall["Técnica – T1562.004 Deteriorar Defesas: Desativar ou Modificar Firewall Descrição: PowerShell desativa o Windows Defender e abre portas de entrada 56001u201157002"] class defense_evasion_firewall technique tool_powershell["Ferramenta: PowerShell Descrição: Executa scripts para desativar componentes de segurança"] class tool_powershell tool execution_reflective["Técnica – T1620 Carregamento de Código Reflexivo Descrição: Binários do estágio descriptografado executados na memória via memexec"] class execution_reflective technique execution_injection["Técnica – T1055.002 Injeção de Processo: Injeção de Executável Portátil Descrição: svc_service.exe injeta cargas úteis usando chamadas de sistema NT diretas"] class execution_injection technique process_svc["Processo: svc_service.exe Descrição: Hospeda CLR e realiza injeção"] class process_svc process persistence_shortcut["Técnica – T1547.009 Modificação de Atalho Descrição: Atalho LNK colocado na pasta de Inicialização"] class persistence_shortcut technique file_shortcut["Arquivo: OneDriveSync.lnk Localização: Pasta de Inicialização"] class file_shortcut shortcut persistence_hijack["Técnica – T1574 Sequestro do Fluxo de Execução Descrição: Alterações no registro para WinLogon Userinit, sequestro de COM, criação de tarefa agendada"] class persistence_hijack technique node_registry["Registro: Modificação do WinLogon Userinit Ação: Altera a ordem de execução"] class node_registry registry node_task["Tarefa Agendada: Tarefa de logon Ação: Executa carga útil no logon do usuário"] class node_task scheduled c2_dead_drop["Técnica – T1102.001 Serviço Web: Resolver Dead Drop Descrição: Recupera domínio C2 da descrição do canal do Telegram"] class c2_dead_drop technique c2_telegram["Canal C2: Descrição do Telegram"] class c2_telegram c2 c2_bidirectional["Técnica – T1102.002 Serviço Web: Comunicação Bidirecional Descrição: Comunica-se via retransmissão de webhook do Hookdeck e API do Bot do Telegram"] class c2_bidirectional technique tool_hookdeck["Ferramenta: retransmissão de webhook do Hookdeck Descrição: Retransmite solicitações HTTP"] class tool_hookdeck tool tool_telegram_bot["Ferramenta: API do Bot do Telegram Descrição: Fornece mensagens bidirecionais"] class tool_telegram_bot tool %% Connections file_openclaw –>|aciona| initial_access initial_access –>|leva a| defense_evasion_vm defense_evasion_vm –>|leva a| defense_evasion_firewall defense_evasion_firewall –>|executado por| tool_powershell defense_evasion_firewall –>|leva a| execution_reflective execution_reflective –>|carrega em| process_svc process_svc –>|realiza| execution_injection execution_injection –>|cria| file_shortcut file_shortcut –>|habilita| persistence_shortcut persistence_shortcut –>|suporta| persistence_hijack persistence_hijack –>|modifica| node_registry persistence_hijack –>|cria| node_task persistence_hijack –>|obtém| c2_dead_drop c2_dead_drop –>|fonte| c2_telegram c2_dead_drop –>|usa| c2_bidirectional c2_bidirectional –>|retransmite via| tool_hookdeck c2_bidirectional –>|comunica-se via| tool_telegram_bot "

Fluxo de Ataque

Narrativa e Comandos do Ataque:

Um adversário obtém o instalador falso malicioso do OpenClaw (OpenClaw_x64.exe).
O usuário, acreditando ser uma ferramenta de carteira legítima, executa o instalador (T1204).
O instalador imediatamente inicia uma única linha de comando que gera os seis binários de payload maliciosos de uma só vez, permitindo que ele contorne as heurísticas de sandbox e estabeleça uma estrutura de implantes modular (T1027.009, T1608.001, T1546.016, T1127).

A linha de comando exata esperada pela regra é:
```
OpenClaw_x64.exe svc_service.exe virtnetwork.exe onedrive_sync.exe audioeq.exe WinHealhCare.exe OneSync.exe
```

Script de Teste de Regressão:

# -------------------------------------------------
# Script de simulação – aciona a detecção do OpenClaw
# -------------------------------------------------
$installerPath = "C:TempOpenClaw_x64.exe"

# Garanta que o instalador fictício exista (crie um espaço reservado inofensivo)
if (-not (Test-Path $installerPath)) {
    New-Item -ItemType File -Path $installerPath -Force | Out-Null
}

# Construa a lista de argumentos contendo todos os seis nomes de payload
$payloads = @(
    "svc_service.exe",
    "virtnetwork.exe",
    "onedrive_sync.exe",
    "audioeq.exe",
    "WinHealhCare.exe",
    "OneSync.exe"
)
$argString = $payloads -join " "

# Inicie o instalador com a linha de comando maliciosa completa
Write-Host "Iniciando instalador malicioso..."
Start-Process -FilePath $installerPath -ArgumentList $argString -NoNewWindow

# Aguarde alguns segundos para permitir que o Sysmon/Segurança registre o evento
Start-Sleep -Seconds 5
Write-Host "Simulação completa. Verifique SIEM para alerta."

Comandos de Limpeza:

# -------------------------------------------------
# Script de limpeza – remove artefatos criados para o teste
# -------------------------------------------------
$installerPath = "C:TempOpenClaw_x64.exe"
if (Test-Path $installerPath) {
    Remove-Item -Path $installerPath -Force
}

# Opcionalmente encerre quaisquer processos de payload fictícios remanescentes (eles são apenas espaços reservados)
Get-Process -Name "svc_service","virtnetwork","onedrive_sync","audioeq","WinHealhCare","OneSync" -ErrorAction SilentlyContinue |
    Stop-Process -Force
Write-Host "Limpeza finalizada."

Junte-se à plataforma Detection as Code da SOC Prime para melhorar a visibilidade das ameaças mais relevantes para o seu negócio. Para ajudá-lo a começar e gerar valor imediato, agende uma reunião agora com os especialistas da SOC Prime.

Cadastre-se Gratuitamente