Ataque sofisticado via sideloading de DLL
O grupo de ransomware Qilin está implantando uma cadeia de infecção sofisticada e multiestágio via uma DLL maliciosa msimg32.dll que pode desativar mais de 300 drivers de detecção e resposta de endpoint (EDR) de praticamente todos os principais fornecedores de segurança. À medida que as organizações cada vez mais dependem de soluções EDR, que oferecem visibilidade comportamental muito maior do que antivírus legados, os atores de ameaças se adaptaram ao usar assassinos de EDR como componente central de sua cadeia de ataque.
Desativando a coleta de telemetria através da criação de processos, atividade de memória e comportamento de rede, os atacantes podem operar sem detecção tempo suficiente para implantar sua carga útil de ransomware. O Qilin, também rastreado como Agenda, Gold Feather e Water Galura, reivindicou mais de 40 vítimas por mês e é considerado uma das operações de ransomware-as-a-service (RaaS) mais ativas.
Pesquisadores da Cisco Talos descobriram que o ataque começa quando um aplicativo legítimo, como o FoxitPDFReader.exe, carrega a DLL maliciosa msimg32.dll no lugar da biblioteca legítima do Windows. Para evitar suspeita imediata, a DLL rogue encaminha todas as chamadas de API esperadas para a DLL msimg32.dll real em C:\Windows\System32, preservando o comportamento normal do aplicativo enquanto dispara sua lógica maliciosa diretamente da função DllMain.
Técnicas avançadas de evasão e ofuscação
Embutido dentro da DLL está uma carga útil de assassino de EDR criptografada que passa por três estágios de carregador antes que o componente final seja executado inteiramente na memória, sem tocar em disco em sua forma descriptografada. O carregador emprega uma série de técnicas avançadas de anti-detecção especificamente projetadas para cegar produtos EDR antes que eles possam levantar um alerta.
As técnicas incluem ofuscação de fluxo de controle baseada em SEH/VEH (Structured Exception Handling e Vectored Exception Handling), que são usadas para ocultar padrões de invocação de API e transferir execução furtivamente entre estágios. A supressão de ETW (Event Tracing for Windows) neutraliza a telemetria em tempo de execução, privando os defensores da telemetria necessária para detecção comportamental. O bypass de syscall Halo's Gate varre ntdll.dll para frente e para trás para localizar stubs de syscall limpos e não ganchados, repurificando-os para invocar chamadas de sistema desejadas sem modificar nenhum código ganchado.
Manipulação de kernel e drivers maliciosos
O carregador também manipula objetos de kernel, sobrescrevendo a seção .mrdata de ntdll.dll, que contém o ponteiro de callback do despachante de exceção, para redirecionar o tratamento de exceção para sua própria rotina personalizada. O malware também implementa medidas anti-depuramento, verificando breakpoints em KiUserExceptionDispatcher e deliberadamente fazendo o processo falhar se um for detectado. O carregador também implementa geo-fencing, terminando a execução se a localidade do sistema corresponder a um país pós-soviético, uma lista de exclusão deliberada que espelha padrões vistos em outras operações de ransomware afiliadas à Rússia.
Uma vez que o carregador multiestágio entrega sua carga útil final (Estágio 4), o assassino de EDR PE carrega dois drivers auxiliares de nível de kernel. O rwdrv.sys é uma versão renomeada do ThrottleStop.sys, legítimamente assinado pela TechPowerUp LLC e usado em ferramentas como GPU-Z. Apesar de sua origem benigna, o driver expõe IOCTLs poderosos para leitura/escrita de memória física, acesso MSR e configuração PCI, explorados aqui para manipular diretamente estruturas de kernel sem passar pela memória virtual protegida.
Desativação de drivers EDR e Code Integrity
O hlpdrv.sys é usado exclusivamente para terminar processos EDR protegidos via código IOCTL 0x2222008, contornando mecanismos de proteção de processo do Windows. O assassino de EDR itera através de uma lista codificada de mais de 300 nomes de drivers EDR, usando escritas de memória física via rwdrv.sys para desregistrar callbacks de monitoramento para criação de processos, criação de threads e eventos de carregamento de imagem, desabilitando a visibilidade EDR no nível do kernel.
Notavelmente, o malware temporariamente sobrescreve o callback CiValidateImageHeader com uma função que sempre retorna true, desabilitando a execução de integridade de código enquanto o ataque prossegue, e depois restaura-o para reduzir rastros forenses. A Cisco Talos observa que, embora essas técnicas não sejam inteiramente novas, elas permanecem altamente eficazes e devem ser detectáveis por pilhas de defesa multi-camada adequadamente configuradas.
Recomendações para CISOs e equipes de SOC
As organizações são fortemente aconselhadas a monitorar atividades suspeitas de sideloading de DLL, instalações inesperadas de drivers (rwdrv.sys, hlpdrv.sys) e qualquer tentativa de escrever em memória física de processos de modo usuário. Confiar em um único produto de segurança não é mais suficiente contra adversários projetados especificamente para neutralizá-lo. A defesa em profundidade, incluindo monitoramento de comportamento de kernel e análise de integridade de arquivos, é essencial para detectar tais ataques.
Além disso, a implementação de controles de aplicação rigorosos e a restrição de privilégios de administrador podem limitar a capacidade do malware de carregar drivers não assinados ou modificar estruturas de kernel. A segmentação de rede e a monitorização de tráfego de saída para IPs suspeitos também são medidas críticas para conter a propagação lateral e a exfiltração de dados.