Binários legítimos do VLC e da VMware usados para carregar malware por DLL side-loading no Brasil e em Portugal

Os atacantes estão a transformar software legítimo do Windows num veículo de entrega. Em três campanhas distintas dirigidas a utilizadores no Brasil e em Portugal, executáveis assinados do VLC Media Player, da VMware e da Microsoft .NET Framework foram usados para carregar bibliotecas maliciosas, dando aos operadores um processo de aspeto fidedigno atrás do qual se esconder.

A técnica chama-se DLL side-loading. Em vez de adulterar um programa conhecido, o atacante deixa uma DLL maliciosa na mesma pasta e deixa que o programa a carregue no arranque. O executável passa em qualquer verificação de reputação; a biblioteca ao lado é que faz o estrago.

O que aconteceu

Overlord RAT (Brasil). A primeira campanha começa com e-mails de phishing que se fazem passar por cartórios brasileiros e avisam o destinatário de um «protesto» pendente contra a sua empresa. O isco aponta para um suposto documento jurídico, mas o download é um VBScript que vai buscar um executável ou um pacote Windows Installer (MSI). Os scripts escondem a sua lógica montando as strings a partir de códigos de carateres em tempo de execução.

Dois dos instaladores desta cadeia usam side-loading. Um junta a biblioteca maliciosa a um utilitário legítimo da .NET Framework (ngentask.exe); o outro traz uma cópia do VLC Media Player. Ambos se descompactam numa pasta temporária chamada «Adobe». As fases seguintes descarregam ficheiros adicionais do Dropbox e do Google Cloud Storage, acrescentam exclusões no Microsoft Defender via PowerShell e registam tarefas agendadas chamadas «Windows Error Reporting» que lançam um carregador disfarçado de WerFault.exe. Os dados cifrados recuperados da cadeia descodificaram-se em shellcode Donut, que executa o payload final inteiramente em memória.

Cadeia baseada na VMware (Portugal). A campanha seguinte começa numa página em português que promete um «download seguro da fatura». Um CAPTCHA falso entrega ao visitante uma imagem ISO. Lá dentro estão um VBScript ofuscado, um utilitário legítimo de instalação de rede da VMware (vnetlib.exe), uma newdev.dll maliciosa e um ficheiro de definição de módulo. O binário da VMware é apenas o carregador: a DLL decifra com XOR uma biblioteca de 64 bits escrita em Pascal, que é a verdadeira ferramenta de acesso remoto.

Esse payload em Pascal é completo. Consegue controlar o rato e o teclado, executar comandos por PowerShell ou CMD, escrever ficheiros, transmitir o ecrã e abrir shells interativas ocultas. Também se consegue desinstalar e apagar o seu rasto. Se o servidor de comando e controlo não responder, tenta de novo de 3 em 3 s, um comportamento que sobressai na telemetria de rede.

Lampion (Portugal). A terceira campanha é uma nova vaga do malware bancário Lampion, entregue por phishing de tema financeiro com anexos ZIP com nomes de comprovativos de pagamento portugueses («COMPROVATIVO_…»). Os seus scripts são enchidos até cerca de 5 MB, embora o código útil ronde os 5 KB, um truque barato que engana a filtragem por tamanho e atrasa a análise.

As três operações partilham hábitos de entrega e uma curiosa predileção pelo número sete em nomes de ficheiros e pastas, mas não há provas de que um único grupo as conduza a todas. Trate-as como técnicas aparentadas, não como um ator único confirmado.

Porque é que importa

O side-loading anula o reflexo de julgar um processo pelo seu executável. As listas de permitidos do antivírus, as políticas de controlo de aplicações e até um analista a olhar para a árvore de processos vão ver vlc.exe ou uma ferramenta da VMware e seguir em frente. O código malicioso vive numa biblioteca que o processo carregou a partir de uma pasta de onde nunca deveria ter carregado nada.

As mesmas cadeias mostram também como várias ações do Windows, inofensivas isoladamente, somam um comprometimento: o download de um script, uma exclusão no Defender, uma tarefa agendada, um binário de confiança a carregar uma DLL de uma pasta temporária. Cada uma, isolada, é ruído. Juntas, são uma intrusão.

Indicadores a procurar

Os valores estão «defanged» de propósito; reponha-os apenas dentro do seu SIEM ou plataforma de threat intelligence.

Por agora não há hashes de ficheiros disponíveis para estas cadeias, pelo que não listamos nenhum.

O que fazer

1. Alerte quando binários de confiança carregarem bibliotecas a partir de pastas onde o utilizador pode escrever. O VLC, as ferramentas da VMware e os utilitários .NET não têm motivo para correr a partir de %TEMP% ou de uma pasta chamada «Adobe». Os eventos de carregamento de imagem do Sysmon (Event ID 7) tornam isto visível.
2. Trate novas exclusões do Defender como incidentes, não como alterações de configuração. Vigie execuções de Set-MpPreference e Add-MpPreference lançadas a partir de scripts.
3. Reveja as tarefas agendadas criadas fora das suas ferramentas de deployment, sobretudo as que pedem emprestado nomes de componentes do Windows.
4. Correlacione, não trie os alertas um a um. Um download de script seguido de uma exclusão e de uma tarefa agendada em poucos minutos é uma cadeia, não três tickets de baixa prioridade.
5. Bloqueie ou isole em sandbox anexos ISO e VBScript no gateway de e-mail e sensibilize as equipas financeiras e jurídicas dos escritórios lusófonos para os iscos de cartórios e faturas.
6. Procure os indicadores acima nos registos de endpoints e proxy e isole qualquer máquina que corresponda.

Cadeias como estas têm sucesso porque ninguém testou se o ambiente as travaria de facto. Os nossos serviços de penetration testing incluem exatamente este tipo de exercício de assumed breach: verificamos se uma biblioteca carregada por side-loading, uma exclusão do Defender por script ou uma tarefa agendada renomeada seriam apanhadas pelos seus controlos antes que um atacante o descubra por si.