O Holograma do OpenClaw Entrega um Instalador Falso e Rust Infostealer

Resumo

Um sofisticado infostealer baseado em Rust está sendo disseminado através de um instalador falso do OpenClaw. O dropper inicial, monitorado como Hologram, aplica várias técnicas de evasão de sandbox antes de implantar um implante modular de seis componentes. A operação também abusa de plataformas legítimas como Azure DevOps, Telegram e Hookdeck para comando e controle e entrega de dead-drop. Seu principal objetivo é roubar credenciais de extensões de navegador de carteiras de criptomoedas e gerenciadores de senhas.

Investigação

O Netskope Threat Labs examinou duas ondas de campanha, Hologram e Pathfinder, e mapeou toda a cadeia de infecção desde o instalador fraudulento até os módulos finais de roubo de credenciais. Sua análise revelou verificações anti-VM, um requisito de movimentação do mouse, um executor do PowerShell que desativa o Microsoft Defender, e vários métodos de persistência, incluindo chaves de Run, um Winlogon userinit redirecionamento, tarefas agendadas e sequestro de COM. Os pesquisadores também observaram frequentes mudanças de infraestrutura entre domínios, canais do Telegram e webhooks do Hookdeck.

Mitigação

Os defensores devem bloquear downloads do falso instalador do OpenClaw e monitorar o grande arquivo PE Rust de 130 MB associado à campanha. As equipes de segurança também devem detectar a criação do atalho OneDriveSync.lnk na pasta de Inicialização e monitorar modificações no registro envolvendo Winlogon userinit. O acesso de saída para Azure DevOps, API do Telegram e endpoints do Hookdeck deve ser rigorosamente controlado em sistemas não destinados a desenvolvedores. Regras de firewall também devem impedir conexões de entrada nas portas 56001 até 57002.

Resposta

Se a ameaça for detectada, isole o ponto de extremidade afetado imediatamente, colete os binários descartados e arquivos relacionados, e realize uma análise forense das mudanças no registro e artefatos de tarefa agendada. Quaisquer tokens do Azure DevOps expostos devem ser revogados, e credenciais de bot do Telegram comprometidas devem ser rotacionadas. O conteúdo de detecção deve então ser atualizado para incluir o mutex observado, nomes de arquivos e indicadores de rede. As partes interessadas relevantes devem ser informadas e considerar o reporte ao CERT ou aos provedores de serviço impactados.

Execução de Simulação

Pré-requisito: A Verificação Pré-voo de Telemetria e Linha de Base deve ter sido aprovada.

Justificativa: Esta seção detalha a execução precisa da técnica do adversário (TTP) projetada para acionar a regra de detecção. Os comandos e a narrativa refletem diretamente os TTPs identificados e visam gerar exatamente a telemetria esperada pela lógica de detecção.

• Narrativa e Comandos do Ataque:

  Um adversário obtém o instalador falso malicioso do OpenClaw (OpenClaw_x64.exe).
  O usuário, acreditando ser uma ferramenta de carteira legítima, executa o instalador (T1204).
  O instalador imediatamente inicia uma única linha de comando que gera os seis binários de payload maliciosos de uma só vez, permitindo que ele contorne as heurísticas de sandbox e estabeleça uma estrutura de implantes modular (T1027.009, T1608.001, T1546.016, T1127).

  A linha de comando exata esperada pela regra é:

  OpenClaw_x64.exe svc_service.exe virtnetwork.exe onedrive_sync.exe audioeq.exe WinHealhCare.exe OneSync.exe

• Script de Teste de Regressão:

  # -------------------------------------------------
  # Script de simulação – aciona a detecção do OpenClaw
  # -------------------------------------------------
  $installerPath = "C:TempOpenClaw_x64.exe"
  
  # Garanta que o instalador fictício exista (crie um espaço reservado inofensivo)
  if (-not (Test-Path $installerPath)) {
      New-Item -ItemType File -Path $installerPath -Force | Out-Null
  }
  
  # Construa a lista de argumentos contendo todos os seis nomes de payload
  $payloads = @(
      "svc_service.exe",
      "virtnetwork.exe",
      "onedrive_sync.exe",
      "audioeq.exe",
      "WinHealhCare.exe",
      "OneSync.exe"
  )
  $argString = $payloads -join " "
  
  # Inicie o instalador com a linha de comando maliciosa completa
  Write-Host "Iniciando instalador malicioso..."
  Start-Process -FilePath $installerPath -ArgumentList $argString -NoNewWindow
  
  # Aguarde alguns segundos para permitir que o Sysmon/Segurança registre o evento
  Start-Sleep -Seconds 5
  Write-Host "Simulação completa. Verifique SIEM para alerta."

• Comandos de Limpeza:

  # -------------------------------------------------
  # Script de limpeza – remove artefatos criados para o teste
  # -------------------------------------------------
  $installerPath = "C:TempOpenClaw_x64.exe"
  if (Test-Path $installerPath) {
      Remove-Item -Path $installerPath -Force
  }
  
  # Opcionalmente encerre quaisquer processos de payload fictícios remanescentes (eles são apenas espaços reservados)
  Get-Process -Name "svc_service","virtnetwork","onedrive_sync","audioeq","WinHealhCare","OneSync" -ErrorAction SilentlyContinue |
      Stop-Process -Force
  Write-Host "Limpeza finalizada."