Resumo técnico
O ataque começa com um e‑mail contendo um arquivo ZIP (“US now deciding what’s next for Venezuela.zip”). No interior encontra‑se um executável denominado “Maduro to be taken to New York.exe” e uma biblioteca maligna “kugou.dll”. A amostra utiliza um binário legítimo do KuGou com DLL hijacking para carregar a biblioteca maliciosa.
Comportamento observado
- Criação de pasta persistente: C:\ProgramData\Technology360NB com cópia dos componentes.
- Persistência: chave em HKCU\Software\Microsoft\Windows\CurrentVersion\Run\Lite360 que dispara no login.
- Prompt para reinício: o malware exibe caixa de diálogo que induz o usuário a reiniciar, acionando o payload.
- Comunicação C2: conexões regulares criptografadas para 172.81.60[.]97:443 para receber instruções e configurações.
Indicadores e atribuição
Indicadores de Comprometimento (IoCs) publicados incluem o IP 172.81.60[.]97 e hashes associados aos arquivos ZIP, EXE e DLL. A campanha compartilha semelhanças com operações anteriores atribuídas a atores como Mustang Panda no uso de iscos ligados a eventos geopolíticos, porém os pesquisadores não têm evidência suficiente para uma atribuição definitiva.
IoCs principais: 172.81.60[.]97; 8f81ce8c... (ZIP); 722bcd4b... (EXE); aea6f6ed... (DLL).
Implicações e recomendações
Para equipes de SOC e resposta a incidentes, o vetor reforça a necessidade de políticas estritas de análise de anexos e sandboxing. Recomenda‑se:
- Bloquear execuções de binários desconhecidos e monitorar criação de chaves Run no registro.
- Configurar inspeção TLS e monitoramento de DNS para detectar conexões com 172.81.60[.]97 e domínios relacionados.
- Aplicar regras de detecção para DLL hijacking e monitorar processos KuGou ou similares quando não esperados em endpoints corporativos.
O que falta
Não há confirmação pública de alcance geográfico ou contagem de vítimas; tampouco há evidência conclusiva para atribuição do grupo responsável. Mais telemetria e amostras completas permitirão correlacionar campanhas e ajustar detecções.