Cenário de Treinamento - Enumeração de Dados
Nome do Grupo
Dados de Treinamento - Exfiltração via RAT (Quasar)
Cenário
Neste cenário de treinamento, executaremos um RAT na máquina vítima e o utilizaremos para enumerar os dados no disco, com o objetivo de exfiltrar arquivos.
Embora este não seja um ataque de ransomware, os comportamentos utilizados pelo RAT se enquadram no conjunto de comportamentos de extorsão de dados que a Cyber Crucible detecta. A resposta ao incidente, e os dados relacionados, são muito semelhantes aos da resposta a uma carga útil de ransomware, pois para a Cyber Crucible, é tudo a mesma coisa!
Identificando
Este executável parece um pouco estranho, mas está no system32 e está acionando respostas repetidas. É necessária uma investigação mais aprofundada para descobrir o que aconteceu aqui. Podemos começar procurando por caminhos filhos relacionados ao caminho de resposta.
Aqui obtemos mais algumas evidências para a história. Um usuário executou o client-build.exe a partir da área de trabalho, que é o dropper do RAT. Em seguida, parece que ele eleva privilégios por meio de um svchost. Ainda há algumas peças faltando no quebra-cabeça, no entanto. Como sabemos que isso é um RAT e não apenas algo interagindo com o svchost?
Isso abre muito mais visibilidade! Não só sabemos com certeza que alguma atividade suspeita está ocorrendo, e quais caminhos estão relacionados, mas também sabemos que uma persistência está sendo criada. E ainda vemos que estamos lidando com o Quasar, um RAT bem conhecido.
O Quasar é um RAT sofisticado, e realiza a maior parte de seu comportamento dentro de seu próprio executável, optando por trazer suas próprias bibliotecas compiladas estaticamente em vez de usar os utilitários padrão do Windows para muitas coisas. Mas mesmo o Quasar é flagrado usando ferramentas como o schtasks.
Documentação relevante
Mitre T1566 - O phishing pode ser usado para enganar um usuário e fazê-lo realizar uma ação que, de outra forma, não teria realizado, como executar um script ou compartilhar uma senha.
Mitre T1091 - O malware pode se replicar em mídia removível para que a próxima máquina conectada a ela possa executá-lo por meio de autorun ou vulnerabilidades de driver.
Mitre T1204 - A execução pelo usuário, frequentemente obtida por meio de phishing, é a maneira mais simples de o malware iniciar sua execução.
Mitre T1547 - O malware pode instruir o Windows a executar programas maliciosos na inicialização ou quando um usuário faz login.
Mitre T1037 - O malware pode instruir o Windows a executar scripts maliciosos na inicialização ou quando um usuário faz login.
Mitre T1543 - Criar ou modificar um processo de sistema pode disfarçar código malicioso como um processo de sistema normal e confiável, evitando a detecção de malware.