Relatório técnico da Kaspersky detalha evolução das ferramentas do grupo ToddyCat para coletar correspondência corporativa: novas variantes de TomBerBil, uso de TCSectorCopy para copiar OSTs bloqueados e extração de tokens OAuth em memória.
Panorama
A pesquisa analisa incidentes da segunda metade de 2024 e início de 2025 nos quais o grupo ToddyCat ampliou suas técnicas para obter acesso furtivo a e‑mails corporativos. As ações combinam movimento lateral via SMB, extração de chaves DPAPI e coleta de tokens de autorização de aplicações Microsoft 365.
TomBerBil em PowerShell: coleta por SMB
Uma variante do TomBerBil foi reimplementada em PowerShell e executada a partir de controladores de domínio com privilégios elevados. Em vez de operar localmente no host da vítima, a versão server‑side estabelece conexões SMB a \\<host>\c$\users\ para enumerar perfis de usuário e copiar arquivos sensíveis dos navegadores (Chrome, Edge e Firefox):
- Login Data
- Local State (contendo a chave usada para criptografia)
- Cookies
- History
O adversário também copia os diretórios que armazenam chaves DPAPI (por exemplo, %AppData%\Roaming\Microsoft\Protect e %LocalAppData%\Microsoft\Credentials), o que possibilita a descriptografia dos dados coletados quando combinado com SID e senha do usuário, segundo a análise.
TCSectorCopy e XstReader: como os atacantes copiaram e exportaram OSTs
Para acessar correio armazenado localmente em arquivos OST que normalmente ficam bloqueados pelo Outlook, os operadores do ToddyCat passaram a usar uma ferramenta chamada TCSectorCopy. Essa ferramenta lê blocos diretamente do dispositivo de disco em modo read‑only, contornando a API padrão do Windows e permitindo copiar arquivos .ost mesmo quando estão em uso.
Após obter os arquivos OST, os operadores utilizaram o XstReader (ferramenta open‑source) para exportar mensagens e anexos em HTML/RTF/TXT e, em seguida, arquivaram e exfiltraram o material coletado.
Roubo de tokens OAuth da memória
Para evitar coleta direta em hosts monitorados, o grupo também tentou obter tokens de acesso (JWT) presentes na memória de processos Microsoft 365. Ferramentas como SharpTokenFinder e, quando bloqueadas, alternativas como ProcDump foram usadas para criar dumps de processo e localizar padrões de token (por exemplo, prefixos constantes nas strings codificadas em Base64).
A técnica permite ao adversário, por um período curto, solicitar recursos na nuvem (recuperar e‑mail) sem depender da extração direta dos arquivos locais — contornando assim algumas detecções baseadas em atividade de arquivo.
Detecção e medidas defensivas indicadas
A Kaspersky fornece várias regras e recomendações para detecção das atividades observadas:
- Auditar acessos via SMB a pastas de perfil do usuário e a arquivos de navegador sensíveis (
Login Data,Local State, cookies, profiles do Firefox). - Auditar acesso a pastas que guardam chaves DPAPI (por exemplo,
Windows\System32\Microsoft\Protecte caminhos em%AppData%), pois a leitura desses dados é indicativa de tentativa de descriptografia offline. - Monitorar eventos de leitura bruta do disco (por exemplo, Sysmon Event ID 9 RawAccessRead) e comandos que invoquem ferramentas de dump de processo (ProcDump) com nomes de processos do Microsoft 365 em suas linhas de comando.
- Excluir processos legítimos quando configurar auditorias (evitar falsos positivos), mas monitorar atividades incomuns envolvendo ferramentas de cópia em nível de setor e a criação de dumps de processos de aplicações de e‑mail.
Indicadores e artefatos
O relatório lista hashes e caminhos observados em incidentes analisados, incluindo nomes de arquivos e localizações temporárias usadas pelo atacante (C:\programdata\ip445.ps1, C:\Windows\Temp\xCopy.exe, C:\Windows\Temp\XstExport.exe, entre outros). Também são fornecidas assinaturas experimentais de detecção e regras de auditoria.
Impacto e limites das informações
As técnicas descritas permitem acesso extensivo ao conteúdo de caixas de correio e a recuperação de credenciais/tokens que possibilitam acesso a conteúdo em nuvem. O relatório detalha as ferramentas, vetores e procedimentos, mas não lista todas as vítimas por nome — a análise foca nas capacidades e na detecção das técnicas.
Resumo e recomendações
Organizações devem reforçar auditorias de acesso a arquivos sensíveis via SMB, proteger e monitorar os repositórios de chaves DPAPI, controlar rigorosamente permissões em compartilhamentos administrativos e monitorar criação de dumps de processos de aplicações Microsoft 365. A combinação de EPP host‑based e plataformas de monitoramento direcionado é recomendada para detectar padrões descritos no relatório.