Pesquisadores da esentire detalharam uma operação com o Prometei — botnet ativo desde 2016 — que atualmente foca em servidores Windows para obter acesso remoto, roubar credenciais e estabelecer persistência com módulos atualizáveis.
Descoberta e escopo
O relatório indica que o vetor primário de infiltração continua sendo credenciais fracas ou padrões em Remote Desktop Protocol (RDP). Após acesso inicial, os operadores executam uma cadeia de comandos que grava uma chave XOR (mshlpda32.dll) no diretório do Windows para decifrar o payload principal, instala um serviço chamado "UPlugPlay" e copia o binário para C:\Windows\sqhost.exe.
Vetor e exploração
Prometei utiliza uma combinação de comandos CMD e PowerShell no estágio de implantação e modifica o ambiente para garantir persistência e operacionalidade: cria exceções no Windows Firewall e exclusões no Microsoft Defender. A comunicação com servidores de comando e controle ocorre tanto via infraestrutura clara quanto através da rede TOR, diminuindo a exposição dos operadores.
Capacidades técnicas e módulos
- Criptografia e ofuscação: múltiplas camadas (RC4, LZNT1 e RSA-1024) e um cifrador em rolling XOR para seções de código e dados.
- Coleta e movimento lateral: uso de Mimikatz (miWalk32/64) para roubo de credenciais, módulo rdpcIip.exe para movimento lateral via RDP e windrlver.exe para expansão via SSH.
- Exclusividade do host: módulo netdefender.exe bloqueia tentativas concorrentes de outros atores, comportamento descrito como "jealous tenant".
- Proxies TOR e persistência: componentes como msdtc.exe e smcard.exe atuam como proxies para tráfego anônimo; autorun e serviços garantem sobrevivência às reinicializações.
Evidências e limites
A esentire publicou YARA rules e utilitários Python para detecção. Os indicadores e assinaturas fornecidos auxiliam detecção estática, porém o relatório enfatiza que EDR e monitoramento comportamental são mais eficazes para reconhecer as cadeias de processo complexas e as modificações de registro realizadas pelo Prometei.
Impacto e alcance
Servidores Windows mal protegidos com exposição RDP permanecem em alto risco. O Prometei combina roubo de credenciais, mineração de criptomoedas e acesso remoto prolongado — um conjunto que permite desde uso ilícito de recursos até preparação de infiltrações mais danosas (ransomware ou exfiltração).
Observações para defesa
- Impor políticas de senha robustas, MFA para acessos remotos e mecanismos de lockout de conta;
- reduzir exposição de RDP com VPNs, salt servers ou gateways de acesso gerenciado e segmentação de rede;
- atualizar e enriquecer regras de EDR para identificar hijacking de processos como explorer.exe e criações atípicas de serviços (ex.: UPlugPlay);
- monitorar conexões de saída para nós TOR e domínios associados a C2 conhecidos; aplicar egress filtering;
- usar YARA e as ferramentas fornecidas pela esentire para caça inicial em imagens e artefatos forenses.
Conclusão
O Prometei continua a evoluir com arquitetura modular e técnicas de evasão: equipes de infraestrutura e SOC devem priorizar redução da superfície de ataque (RDP), fortalecer autenticação e combinar detecção baseada em assinatura com observabilidade comportamental para interromper a cadeia antes que o atacante estabeleça estabilidade operacional.