Um grupo de ameaça persistente avançada bem conhecido chamado Cloud Atlas foi pego usando uma técnica perigosa para sequestrar sistemas Windows sem alertar ninguém na rede. O grupo modifica um arquivo central do Windows chamado termsrv.dll para desbloquear múltiplas sessões simultâneas de Protocolo de Área de Trabalho Remota (RDP) em um computador vítima.
Isso permite que os atacantes trabalhem em segundo plano enquanto um usuário legítimo permanece logado, tornando a detecção muito mais difícil para as equipes de segurança. O Cloud Atlas tem sido ativo desde pelo menos 2014, e no último ano o grupo intensificou ataques contra agências governamentais e organizações diplomáticas.
Modificação do termsrv.dll
A arma chave nesta campanha é um script PowerShell chamado rdp_new.ps1 que modifica diretamente o termsrv.dll no Windows 10. O termsrv.dll controla como o serviço de Área de Trabalho Remota se comporta, e por padrão o Windows limita o sistema a uma sessão RDP concorrente.
O script primeiro adiciona uma regra de firewall para permitir o tráfego RDP e relaxa as configurações de segurança de acesso remoto antes de tocar no arquivo. O script assume a propriedade do termsrv.dll, concede a si mesmo direitos de acesso total e substitui uma sequência de bytes específica para remover a restrição de sessão única.
Persistência e túneis SSH
O Cloud Atlas camadas seu acesso implantando túneis SSH reversos junto com a manipulação RDP. Uma máquina comprometida inicia uma conexão SSH de saída para um servidor controlado pelo atacante, contornando a maioria das regras de firewall que bloqueiam conexões de entrada.
Para manter os túneis em execução, o grupo usa scripts VBS executados através do PAExec ou PsExec e os agenda como tarefas do Windows para reinicialização automática. Em alguns casos, o grupo também implantou o RevSocks, uma ferramenta de proxy baseada em Go, e usou o Tor para rotear o acesso RDP através de endereços ocultos .onion.
Vetor de entrada inicial
O ponto de entrada inicial na maioria dos casos foi um e-mail de phishing carregando um arquivo ZIP com um arquivo de atalho malicioso. Quando uma vítima abre o atalho, ele executa silenciosamente um script PowerShell puxado de um servidor externo.
Esse script configura persistência, baixa um PDF isca para distrair o usuário, remove rastros de infecção e implanta payloads incluindo um backdoor chamado VBCloud e uma ferramenta de reconhecimento chamada PowerShower.
Recomendações de defesa
Equipes de segurança devem monitorar alterações inesperadas no termsrv.dll, revisar modificações do Firewall do Windows e auditar tarefas agendadas para entradas VBS ou PowerShell não familiares. Observar conexões SSH de saída incomuns e bloquear domínios maliciosos conhecidos na periferia da rede também são etapas críticas.
Indicadores de comprometimento
Os IOCs incluem hashes MD5 para scripts PowerShell, caminhos de arquivo em diretórios do Windows como C:\Windows\PLA\System e endereços IP de servidores C2. A análise de tráfego de rede para conexões SSH de saída não autorizadas é essencial.