Serviços criminosos que escondem malware estão ficando mais fáceis de comprar. Esses serviços, conhecidos como cripters, alteram um arquivo malicioso para que as ferramentas de segurança tenham dificuldade em reconhecê-lo. Seus operadores prometem aos clientes uma maneira de contornar o Windows Defender, ferramentas de detecção e resposta de endpoint e Microsoft SmartScreen.
Mercado de criptografia
A mudança ajuda os atacantes a moverem malware familiar além de controles que, caso contrário, o sinalizariam cedo. O perigo não é uma única nova família de malware. É uma camada comercial que ajuda muitos tipos de malware a alcançar vítimas com menos escrutínio. Criminosos podem empacotar ferramentas de acesso remoto, stealers ou carregadores de ransomware em arquivos projetados para parecer diferentes cada vez que são entregues.
A Recorded Future disse em um relatório compartilhado com a Cyber Security News que um bypass bem-sucedido pode dar a uma intrusão tempo para se estabelecer antes que os defensores saibam que um programa prejudicial está presente. Analistas da Recorded Future identificaram um mercado movimentado de vendedores oferecendo esses serviços em fóruns subterrâneos, comunidades privadas, plataformas de mensagens, sites e redes sociais.
Os pesquisadores revisaram 24 provedores ativos e descobriram que as cargas úteis do Windows permanecem o foco principal, enquanto o suporte ao Android também aparece no mercado. Suas descobertas mostram como um serviço criminal especializado pode apoiar muitas campanhas separadas.
Detectação deve seguir comportamento
Um cripter começa com um programa malicioso fornecido pelo cliente e o criptografa ou disfarça. Oferecimentos mais capazes vão além, adicionando execução apenas na memória, verificações de máquinas virtuais e sandboxes, injeção de processo, persistência e versões frescas após um arquivo ser detectado. Isso torna o serviço um framework de entrega, não apenas uma ferramenta de embaralhamento de arquivos.
Os vendedores anunciam resultados "totalmente indetectáveis" e usam planos de assinatura, wrappers de software privados ou compartilhados e tempos de limpeza prometidos para competir. Suas reivindicações devem ser tratadas com cautela, mas o modelo de negócios importa: coloca métodos de evasão estabelecidos ao alcance de criminosos que não têm a habilidade de construí-los.
Um provedor proeminente, mrlapis, tem anunciado VIP Crypt por anos e afirma evasão contínua do Windows Defender, recriptação automática e entrega por meio de serviços de transferência de arquivos criptografados. Os pesquisadores encontraram uma amostra recente que usou um carregador Delphi de múltiplas etapas, dados de recurso ocultos, decodificação em etapas e carregamento manual de um executável Windows diretamente na memória.
Essa abordagem enfraquece a confiança em assinaturas de arquivo simples ou hashes. Outros serviços estendem a decepção. ASMCrypt foi observado produzindo pacotes HijackLoader que abusam de programas assinados legítimos e DLL sideloading antes de mover componentes para o ProgramData e injetar código em outro processo.
Recomendações para equipes de segurança
As organizações devem procurar ações que arquivos criptografados não possam esconder facilmente: descoberta ou adulteração inesperada de produtos de segurança, exclusões suspeitas do Defender e arquivos não assinados lançados de pastas temporárias, de download, de arquivo ou de usuário-graváveis. Eles também devem investigar aplicativos assinados executando de caminhos incomuns, DLLs carregadas ao lado, arquivos de configuração criptografados, carregamento apenas na memória e processos suspensos que recebem escritas de memória remotas.
Restringir a execução de caminhos de usuário-graváveis e extração de arquivo, habilitar proteção contra adulteração e isolar sistemas com malware criptografado suspeito pode limitar os danos. As equipes devem reter o arquivo original, componentes em etapas, evidências de memória e telemetria de processo, então determinar a carga útil final e qualquer atividade subsequente.
A análise cuidadosa importa porque as submissões públicas de multi-scanner podem avisar operadores e desencadear uma versão criptografada recém-criada. Os defensores também devem tratar arquivos compactados protegidos por senha, arquivos de atalho, anexos de imagem de disco e semelhantes a documentos como métodos de entrega de maior risco.
Perguntas frequentes
O que é um cripter?
Serviço que criptografa ou disfarça malware para evitar detecção por antivírus e EDR.
Como detectar?
Foque em comportamento anômalo, exclusões de segurança e execução de caminhos incomuns, não apenas em hashes de arquivo.
É seguro confiar em assinaturas?
Não, cripters podem usar certificados roubados ou DLL sideloading para fazer arquivos maliciosos parecerem confiáveis.