Perfil de APT Imperial Kitten: TTPs, Malware e Simulação de Ataque

Resumo

Imperial Kitten é um APT patrocinado pelo estado iraniano, ligado ao IRGC e conhecido por atacar organizações de defesa e aeroespacial. O grupo depende de campanhas de spearphishing altamente direcionadas e portais de credenciais validadas para entregar malware personalizado. Sua caixa de ferramentas inclui múltiplas portas traseiras, como TWOSTROKE e MINIBIKE, e frequentemente utiliza infraestrutura da Microsoft Azure para comunicações de C2.

Investigação

O relatório traça a evolução do Imperial Kitten de 2017 a 2026, destacando sua mudança das operações de cadeia de suprimentos para o catfishing sofisticado em mídias sociais e portais de phishing personalizados. A análise também examina as técnicas de ofuscação em estilo LLVM personalizado e métodos de carregamento de DLL usados para manter a furtividade e complicar a detecção.

Mitigação

As organizações devem fortalecer a segurança de e-mail para identificar domínios semelhantes e verificar fluxos de autenticação legítimos. As defesas de endpoint devem ser reforçadas contra o carregamento de DLLs, enquanto mudanças não autorizadas no registro devem ser monitoradas de perto. Restringir o tráfego de saída para serviços de nuvem aprovados também pode reduzir o risco de comunicação de C2 através da infraestrutura Azure.

Resposta

Quando a atividade do Imperial Kitten for detectada, isole hosts comprometidos para impedir movimento lateral através de túneis RDP ou SSH. Conduza análise forense de %LOCALAPPDATA% para DLLs suspeitas e inspecione chaves de registro em busca de mecanismos de persistência. Revise o tráfego de rede relacionado ao Azure para padrões incomuns associados a domínios e ferramentas de C2 identificados.

Execução de Simulação

• Narrativa de Ataque & Comandos: O adversário obteve acesso inicial com sucesso. Para garantir que permaneçam no sistema após uma reinicialização, eles implantam um carregador que adiciona uma entrada “MigAutoPlay” na chave de registro Run do Usuário Atual. Isso imita o perfil de malware do Imperial Kitten. Após estabelecer a persistência, o adversário realiza movimento lateral via RDP. Para evitar a detecção e esconder seus rastros dos investigadores forenses, eles imediatamente prosseguem para deletar as chaves de registro que armazenam o histórico de servidores RDP recentemente conectados.

• Script de Teste de Regressão:

  # --- PARTE 1: Simulação de Persistência ---
  Write-Host "[+] Simulando Persistência via MigAutoPlay..."
  $PersistencePath = "HKCU:SoftwareMicrosoftWindowsCurrentVersionRun"
  New-ItemProperty -Path $PersistencePath -Name "MigAutoPlay" -Value "C:UsersPublicloader.dll" -PropertyType String -Force
  
  # --- PARTE 2: Simulação de Anti-Forense (Limpeza de RDP) ---
  Write-Host "[+] Simulando Limpeza de Histórico de RDP..."
  $RDPPath1 = "HKCU:SoftwareMicrosoftTerminal Server ClientDefault"
  $RDPPath2 = "HKCU:SoftwareMicrosoftTerminal Server ClientServers"
  
  # Deletando chaves para simular limpeza
  if (Test-Path $RDPPath1) { Remove-Item -Path $RDPPath1 -Recurse -Force }
  if (Test-Path $RDPPath2) { Remove-Item -Path $RDPPath2 -Recurse -Force }
  
  Write-Host "[!] Simulação Completa."

• Comandos de Limpeza:

  # Limpar a chave de persistência criada durante a simulação
  Remove-ItemProperty -Path "HKCU:SoftwareMicrosoftWindowsCurrentVersionRun" -Name "MigAutoPlay" -ErrorAction SilentlyContinue
  
  # Nota: As chaves RDP são geridas pelo sistema; não podemos restaurar facilmente o histórico "deletado"
  # via script, mas podemos recriar as estruturas vazias se necessário.
  New-Item -Path "HKCU:SoftwareMicrosoftTerminal Server ClientDefault" -Force | Out-Null
  New-Item -Path "HKCU:SoftwareMicrosoftTerminal Server ClientServers" -Force | Out-Null