Panda Aquático (Lusca da Terra): Campanhas, Malware e TTPs

Resumo

Aquatic Panda é um grupo APT alinhado com a China, focado em coleta de inteligência e espionagem industrial. O grupo utiliza um arsenal diversificado de malware, incluindo SprySOCKS, ShadowPad e BIOPASS RAT, para atacar indústrias críticas. Suas operações também envolvem a exploração de vulnerabilidades como Log4Shell e o uso de rootkits avançados para manter furtividade.

Investigação

O relatório descreve múltiplas campanhas, incluindo a Operação FishMedley e ataques envolvendo servidores VMware Horizon. Examina o design técnico do backdoor SprySOCKS, incluindo sua funcionalidade de rootkit em modo kernel e recursos de persistência. A análise também detalha as TTPs específicas do grupo para acesso inicial, execução e evasão de defesa.

Mitigação

As organizações devem validar suas defesas contra as táticas conhecidas do Aquatic Panda usando plataformas de simulação e teste. As principais medidas de mitigação incluem o reparo de vulnerabilidades do Log4j como a CVE-2021-44228 e o monitoramento de tarefas agendadas não autorizadas ou alterações suspeitas nos serviços do Windows. A detecção forte de endpoint também é essencial para identificar o carregamento lateral de DLLs e a atividade de injeção de processos.

Resposta

Se a atividade do Aquatic Panda for detectada, os respondedores devem isolar imediatamente os sistemas afetados para interromper o movimento lateral. As investigações devem se concentrar em alterações de registro não autorizadas, especialmente nas configurações do Processador de Impressão ou IFEO. A análise forense deve priorizar a coleta de memória de processos suspeitos e auditoria de tarefas agendadas e serviços do Windows.

## Execução de Simulação

Pré-requisito: A Verificação Preliminar de Telemetria & Linha de Base deve estar aprovada.

Justificativa: Esta seção detalha a execução precisa da técnica do adversário (TTP) projetada para acionar a regra de detecção. Os comandos e a narrativa DEVEM refletir diretamente as TTPs identificadas e visam gerar a telemetria exata esperada pela lógica de detecção. Exemplos abstratos ou não relacionados levarão a um diagnóstico incorreto.

• Narrativa do Ataque & Comandos: Um adversário pretende realizar hollowing de processo para esconder código malicioso dentro de um contêiner de processo legítimo. Para testar se a detecção atual (ainda que falha) dispara, o adversário lançará powershell.exe de um diretório específico. Isso simula o estágio inicial de um ataque Living-off-the-Land (LotL), onde o adversário utiliza uma ferramenta padrão do sistema para iniciar suas atividades maliciosas, como injeção de memória ou coleta de credenciais. O objetivo é gerar um evento de Criação de Processo onde o campo Imagem contém uma barra invertida, conforme definido na lógica de detecção.

• Script de Teste de Regressão:

   # Simulando um lançamento de processo que satisfaz a lógica de detecção (fraca)
    # Isso imita o início de uma sessão do adversário usando uma ferramenta padrão
    $targetProcess = "C:WindowsSystem32WindowsPowerShellv1.0powershell.exe"
    Write-Host "Executando: $targetProcess"
    Start-Process -FilePath $targetProcess -ArgumentList "-NoProfile -ExecutionPolicy Bypass -Command Write-Host 'Simulation Active'"

• Comandos de Limpeza:

   # Nenhuma alteração persistente feita; nenhuma limpeza necessária para esta simulação.
    Write-Host "Limpeza da simulação completa."