Descoberta e escopo da ameaça
Uma nova plataforma de malware como serviço (MaaS) chamada FUD Crypt foi identificada por pesquisadores de segurança, oferecendo a cibercriminosos uma maneira simplificada de criar malware sofisticado para Windows sem a necessidade de escrever código. A plataforma, operando no domínio fudcrypt.net, aceita qualquer executável do Windows enviado por um assinante e retorna um pacote de implantação polimórfico totalmente embalado.
O que torna o FUD Crypt particularmente alarmante é como ele reduziu drasticamente a barreira para ataques sérios. Qualquer criminoso com orçamento poderia fazer upload de uma ferramenta de acesso remoto ou um roubo de informações e receber de volta um pacote polido e multiestágio projetado para contornar motores antivírus, Windows Defender e soluções de detecção e resposta de endpoint (EDR).
Modelo de negócios e níveis de assinatura
Por mensalidades que variam de 800 a 2.000 dólares, os assinantes recebem malware carregando certificados assinados pela Microsoft, persistência automática e um canal de comando e controle (C2) ao vivo, tudo configurado antes que o atacante emita uma única instrução. A plataforma oferecia três níveis:
- O plano Starter, a 800 dólares por mês, cobria transportadores básicos como ProtonVPN e Zoom.
- O plano Pro, a 1.500 dólares, expandiu para Discord e OneDrive com verificações anti-VM.
- O plano Enterprise, a 2.000 dólares, desbloqueou todos os 20 perfis de transportadores, bypass completo de UAC e desativação automática do Defender.
Exploração de confiança e assinaturas Microsoft
O aspecto mais quebra de confiança desta campanha envolve como os binários assinados aparecem para ferramentas de segurança e usuários finais. Quando inspecionados, a cadeia de certificados lê como "Microsoft Identity Verification Root CA", o que significa que o Windows SmartScreen não levanta nenhum alarme, e um usuário verificando manualmente a assinatura vê exatamente o que veria em um binário legítimo da Microsoft.
Os pesquisadores descobriram que o operador da plataforma se inscreveu no próprio serviço Azure Trusted Signing da Microsoft, passou pela verificação de identidade usando identidades do mundo real e usou-o para produzir assinaturas Authenticode enraizadas na Microsoft em binários de malware. Quatro contas de assinatura foram cicladas em apenas seis semanas, com uma substituição sempre preparada antes que a anterior expirasse.
Detalhes técnicos e cadeia de infecção
O mecanismo de infecção no coração do FUD Crypt depende de DLL Sideloading, onde uma DLL maliciosa é colocada ao lado de um aplicativo legítimo para carregar automaticamente quando esse aplicativo é executado. A plataforma suporta 20 perfis de transportadores abrangendo software popular, incluindo Zoom, ProtonVPN, Slack, Visual Studio Code, OneDrive, CCleaner e um perfil usando WindowsDF.exe, um wrapper do Windows Defender que carrega a biblioteca mpclient.dll, a mesma biblioteca que o Defender usa para seu mecanismo de varredura.
Uma vez que a DLL dispara, uma pilha de evasão de defesa em camadas é executada antes que o payload seja processado. Ele usa dois métodos independentes para desabilitar a Interface de Varredura Antimalware do Windows (AMSI): um através de um patch de memória direta que força o AmsiScanBuffer a retornar um erro imediatamente, e outro usando breakpoints de hardware da CPU com um manipulador de exceção vetorial que intercepta a execução sem tocar diretamente no amsi.dll.
Persistência e camuflagem
A persistência é configurada automaticamente em cada conexão. O servidor C2 em mstelemetrycloud.com, deliberadamente nomeado para se assemelhar à infraestrutura da Microsoft, empurra uma chave de execução de registro WindowsUpdateSvc apontando para o binário do agente no momento em que uma máquina se conecta pela primeira vez. As construções Enterprise também registram uma tarefa agendada chamada MicrosoftEdgeUpdateCore definida para executar com o privilégio mais alto em cada logon, imitando um serviço legítimo de atualização do Edge.
Recomendações para CISOs e equipes de SOC
As equipes de segurança devem monitorar o sideloading incomum de DLL de diretórios de software, entradas de chave de registro que referenciam mstelemetry.exe, tarefas agendadas chamadas MicrosoftEdgeUpdateCore e conexões WebSocket de saída para mstelemetrycloud.com. O monitoramento comportamental que rastreia alterações de proteção de memória e mascaramento de processo oferece a melhor oportunidade de detecção, já que a detecção baseada em hash é contornada pela criptografia de camada tripla polimórfica por construção da plataforma.
O que fazer agora
Organizações devem revisar imediatamente suas práticas de distribuição de arquivos e verificar a integridade de assinaturas em binários executáveis. A implementação de políticas de restrição de execução de software (AppLocker ou WDAC) pode mitigar o risco de execução de binários não assinados ou assinados por entidades não confiáveis. Além disso, a monitoração de conexões de saída para domínios suspeitos e a análise de tráfego de rede para padrões de comunicação C2 são essenciais para a detecção precoce.