Variantes de Malware BlueShell Ligadas a Campanhas APT

Resumo

O relatório examina uma nova variante do BlueShell RAT, baseada em Linux e escrita em Go. Esta versão introduz capacidades avançadas de evasão, incluindo disfarce de processo como um trabalhador do kernel e o uso de servidores proxy para comunicação C2. O malware foi associado a atores de ameaças baseados na China, incluindo BlackTech.

Investigação

Analistas identificaram um dropper que decodifica com XOR e descomprime o payload BlueShell em /tmp/kthread. O malware armazena dados de configuração codificados em uma variável de ambiente chamada wtim. A investigação também descobriu novas capacidades, incluindo validação de hostname e a capacidade de evitar conexões C2 diretas roteando o tráfego através de um proxy interno.

Mitigação

As organizações devem monitorar de perto a criação de arquivos suspeitos dentro de /tmp e nomes de processos incomuns, como [kworker/12:12]. As equipes de segurança também devem detectar tráfego de saída inesperado passando por servidores proxy internos. A análise de memória e a recuperação do sistema de arquivos devem ser realizadas quando os droppers forem excluídos para recuperar payloads e dados de configuração.

Resposta

Se for detectada atividade do BlueShell, os hosts afetados devem ser isolados imediatamente e examinados através de análise de memória para identificar o processo malicioso e sua configuração. Os registros de proxy devem ser revisados para conexões com o endereço IP C2 48.216.210.91. Os investigadores também devem determinar como o dropper inicial foi implantado, incluindo possível abuso de credenciais SSH comprometidas.

Execução de Simulação

Pré-requisito: O Check de Pré-vôo de Telemetria e Linha de Base deve ter passado.

Justificativa: Esta seção detalha a execução precisa da técnica de adversário (TTP) projetada para acionar a regra de detecção. Os comandos e a narrativa DEVEM refletir diretamente os TTPs identificados e visam gerar exatamente a telemetria esperada pela lógica de detecção. Exemplos abstratos ou não relacionados levarão a diagnósticos incorretos.

• Narrativa de Ataque e Comandos: Um adversário ganhou acesso inicial a um servidor Linux e está implantando uma variante do BlueShell para estabelecer persistência. Para evitar detecção, tenta mascarar o processo malicioso como um thread de trabalho do kernel chamado /kworker/12:12. Simultaneamente, o dropper tenta desempacotar o payload principal em /tmp/kthread. Vamos simular tanto o mascaramento do processo quanto a atividade do dropper para validar que as strings específicas definidas na regra Sigma acionam o alerta.

• Script de Teste de Regressão:

  #!/bin/bash
  # Simulação de execução de variante de malware BlueShell
  
  echo "[+] Iniciando simulação do BlueShell..."
  
  # 1. Simular o comportamento do Dropper (Escrevendo em /tmp/kthread)
  echo "Simulando dropper escrevendo em /tmp/kthread"
  echo "#!/bin/bash" > /tmp/kthread
  chmod +x /tmp/kthread
  /tmp/kthread &
  SLEEP_PID=$!
  
  # 2. Simular a execução do Processo Mascarado
  # Criamos um arquivo dummy e renomeamos para o nome do processo alvo para acionar 'Imagem contém'
  echo "[+] Simulando processo mascarado /kworker/12:12"
  echo "echo 'Eu sou um thread de kernel falso'" > /tmp/fake_worker
  chmod +x /tmp/fake_worker
  # Executando via um caminho que inclui o nome para acionar a lógica 'contém'
  /tmp/fake_worker --name="/kworker/12:12" &
  WORKER_PID=$!
  
  echo "[+] Comandos de simulação despachados."
  echo "[+] Aguardando ingestão de telemetria..."
  sleep 10
  
  # Limpeza tratada por comando separado
  echo "[+] Simulação completa. Use o script de limpeza para remover artefatos."

• Comandos de Limpeza:

  #!/bin/bash
  # Limpar artefatos de simulação
  echo "[+] Limpando artefatos de simulação..."
  rm -f /tmp/kthread
  rm -f /tmp/fake_worker
  pkill -f "/kworker/12:12"
  pkill -f "/tmp/kthread"
  echo "[+] Limpeza completa."