O Laboratório de Pesquisa de Ameaças da Aryaka analisou um script em lote do Windows altamente ofuscado que injeta o shellcode do Donut e instala um implante .NET residente na memória dentro de um processo legítimo do Windows.
Visão geral da campanha de ameaças
A infecção começa com um script em lote malicioso que utiliza substituição de variáveis, rótulos aleatórios, ofuscação do fluxo de controle e instruções irrelevantes para ocultar seu comportamento. Ele realiza verificações do ambiente para contornar sistemas de análise antes de criar um diretório de preparação oculto em C:\ProgramData\IntelDriver. O malware reconstrói cargas úteis incorporadas e utiliza uma cópia renomeada do powershell.exe, denominada HDVz.exe, para executar as etapas subsequentes. A persistência é estabelecida por meio de uma tarefa agendada que inicia silenciosamente o malware no momento do logon do usuário. O carregador do PowerShell recuperado injeta principalmente o shellcode Donut no explorer.exe, permitindo que o implante final do .NET seja executado na memória dentro de um processo confiável do Windows.
Principais conclusões
Veja a seguir as características da campanha DonutLoader
- Verificações anti-análise baseadas em nomes de usuário, artefatos do sistema de arquivos e memória disponível do sistema: o malware verifica se há indícios de máquinas virtuais, sandboxes ou ambientes de análise, inspecionando nomes de usuário, arquivos específicos e a memória do sistema antes de ser executado.
- Shellcode do Donut e conteúdo criptografado do PowerShell disfarçados como extensões de arquivos de imagem: a carga útil utiliza shellcode gerado pelo Donut e scripts criptografados do PowerShell ocultos por trás de extensões que simulam arquivos de imagem, a fim de evitar a detecção e ocultar o conteúdo malicioso.
- Um arquivo binário do PowerShell renomeado, utilizado como veículo de execução dissimulado: em vez de executar o executável padrão do PowerShell, o malware o renomeia para que a execução maliciosa pareça menos suspeita e consiga contornar verificações de segurança simples.
- Persistência por meio de uma tarefa agendada com um executador VBS: O malware cria uma tarefa agendada que executa um Visual Basic Script (VBS), garantindo que seja executada automaticamente após a reinicialização do sistema ou o logon do usuário.
- Injeção de shellcode no explorer.exe, com alvos alternativos: O malware injeta shellcode malicioso no processo confiável explorer.exe para ocultar sua atividade, recorrendo a processos alternativos caso o alvo principal não esteja disponível.
- Manipulação do AMSI e do ETW para reduzir a visibilidade de segurança: O malware desativa ou contorna o AMSI (Antimalware Scan Interface) e o ETW (Event Tracing for Windows) para reduzir a probabilidade de detecção por ferramentas de segurança.
- Componentes .NET ofuscados associados a atividades de comando e controle:
O malware utiliza código .NET altamente ofuscado para ocultar a funcionalidade que se comunica com servidores de comando e controle (C2). - Notificação de execução via Telegram e comunicação de saída com infraestrutura remota: Ao ser executado, o malware envia notificações de status pelo Telegram e se comunica com servidores remotos para receber comandos ou transmitir informações roubadas.
Resultado de pesquisa digno de destaque: Rastreamento personalizado de injeções
Uma descoberta notável foi o marcador de memória personalizado: DE AD BE CA FE BA EF. O malware insere esse marcador imediatamente antes do shellcode injetado e verifica se ele está presente nos processos candidatos antes da injeção. Isso permite que o carregador identifique processos injetados anteriormente, evite a implantação duplicada do shellcode e reduza o risco de instabilidade do processo. O marcador também fornece aos defensores um valioso indicador para a detecção de ameaças com base na memória.
Comunicação entre operadores e atividades de comando e controle
Durante a execução, o curl.exe envia uma solicitação HTTP POST para o endpoint /sendMessage da API do Telegram Bot, utilizando um token de bot e um ID de chat codificados de forma estática. Essa solicitação inclui uma notificação ao operador confirmando a execução bem-sucedida do malware e indicando que um canal do Telegram controlado pelo operador é utilizado para monitorar infecções ativas. Após a injeção no processo, o implante .NET tenta se conectar a 167.88.167.9:8356 por meio de TCP de saída, o que sugere um canal dedicado de comando e controle. Como a infraestrutura remota não estava disponível durante a análise, não foi possível avaliar as tarefas do operador nem todas as capacidades pós-infecção.
Considerações defensivas
Recomenda-se que as organizações monitorem binários do PowerShell renomeados, diretórios ocultos dentro de ProgramData, tarefas agendadas suspeitas, execução de scripts a partir de locais graváveis pelo usuário, atividades de injeção de processos, memória executável privada e alterações nas funções AMSI ou ETW. As atividades nos terminais também devem ser correlacionadas com solicitações anômalas à API do Telegram Bot e conexões de saída originadas de processos confiáveis, como o explorer.exe. A correlação comportamental oferece uma abordagem de detecção mais robusta do que basear-se exclusivamente em nomes de arquivos, hashes, endereços IP ou outros indicadores individuais.
Análise Técnica Completa
O relatório completo do Aryaka Threat Research Lab apresenta uma análise técnica detalhada da cadeia de infecção, incluindo:
- Desofuscação de scripts em lote e recuperação do fluxo de controle
- Comportamento anti-análise e de validação do ambiente
- Reconstrução e descriptografia da carga útil incorporada
- Análise do carregador do PowerShell
- Persistência de tarefas agendadas
- Recuperação do shellcode do Donut
- Fluxo de trabalho de injeção no processo
- Análise de marcadores de injeção
- Adulteração do AMSI e do ETW
- Análise do implante .NET recuperado
- Notificações do Telegram e atividades de comando e controle
- Indicadores de comprometimento
- Mapeamento do MITRE ATT&CK
- Orientações sobre defesa e detecção proativa de ameaças
Baixe o relatório completo aqui: Relatório do carregador em múltiplas etapas Donutloader