Domínio legítimo como senheiro: a campanha de malspam que DesckVB RAT desenvolve com redireções e evasão de segurança

Pesquisadores em cibersegurança identificaram uma campanha de mal-spam que aproveita a reputação de um domínio legítimo para colocar entre o usuário e a infraestrutura do atacante, e assim entregar um troiano de acesso remoto (.NET) chamado DesckVB RAT. Em vez de enviar links diretos para servidores maliciosos, os atacantes começam com um arquivo HTML anexo que redirige através do sistema de rastreamento de cliques do Google DoubleClick e, a partir daí, encadeia outros direcionamentos que incorporam o endereço de e-mail da vítima codificada em Base64 para armar uma página de engano muito convincente. A consequência técnica e prática é que muitas ferramentas de segurança confiam implicitamente na legitimidade de domínios como DoubleClick e podem dar menos alarme a estas cadeias de redireccionamento.

O fluxo de infecção está pensado para evitar controlos básicos: um ZIP baixado da página de engano contém um carregador em JavaScript que descomprime e executa um programa PowerShell; esse programa descarrega um carregador .NET que atua como staging, faz verificações anti-análises, desactiva ou degrada controles de segurança, estabelece persistência e finalmente injeta o RAT em processos com assinatura da Microsoft através de uma técnica de "process hollowing". O malware também modifica o ambiente para cegar a telemetria do Windows parchando AMSI e ETW em nível de API, configura exclusões na Microsoft Defender e usa sockets TCP crus para se comunicar com seu servidor de comando e controle. É uma cadeia completa desenhada para permanecer silenciosa e persistente, com capacidades de exfiltração, execução remota e implantação de cargas adicionais.

Para além da mecânica, o aspecto estratégico é o que torna perigosa esta campanha: ao usar um redireccionador legítimo e um modelo que se personaliza automaticamente com o endereço de e-mail e a marca da vítima, os operadores não precisam criar iscos à mão para cada objectivo. Isso baixa custos e multiplica o alcance da operação, aumentando o risco para organizações de qualquer tamanho. Além disso, o emprego de técnicas como a injeção em processos assinados e a blindagem do AMSI/ETW complica a detecção tradicional baseada em assinaturas e em alertas estáticos.

As medidas defensivas devem combinar prevenção, detecção e resposta. Na frente do e-mail, implementar e garantir a correta configuração de autenticação de remetentes com SPF, DKIM e DMARC reduz a probabilidade de spoofing; o guia de referência sobre DMARC é um bom ponto de partida em https://dmarc.org/. Além disso, as passarelas de correio que sandboxean anexos e links antes de os entregar adicionam uma camada crítica que pode bloquear pacotes ZIP contendo loaders JavaScript ou HTA maliciosos.

Em endpoints e redes, convém aplicar princípios de lista branca de aplicações (AppLocker, WDAC), políticas de restrição para a execução de scripts (forzar que .vbs, .hta e .js se abra em editores de texto por GPO, tal como recomendam vários equipamentos de resposta), e controle de egress com inspeção de TLS para detectar comunicações com C2. As soluções EDR modernas que monitorizam comportamento - por exemplo, APIs usadas para manipulações de memória, hooks sobre AmsiScanBuffer ou modificações em ETW - são cruciais dado que técnicas como o “process hollowing” são mais bem detectadas por anomalias comportamentais do que por assinaturas estáticas (pode consultar a categorização de técnicas de injeção na base do MITRE ATT&CK na base do MITRE ATT&CK) https://attack.mitre.org/techniques/T1055/).

Também é importante instrumentar deteções específicas: alertas sobre a criação de chaves Run/RunOnce, colocação de executáveis em Carpetas de Início, chamadas a APIs que parchapan AMSI/ETW, processos do Windows que carregam código incomum ou spawn de processos com argumentos PowerShell codificados em Base64. Ter playbooks de resposta que incluam isolamento de hosts, captura de memória e análise forense para identificar stagers e C2 é imprescindível para conter um compromisso desse tipo antes de prospere.

Para usuários finais e administradores: não abrir arquivos .html, .zip ou executáveis provenientes de e-mails não solicitados; verificar remetentes e enviar relatórios internos quando houver a menor suspeita; e reduzir privilégios de contas para limitar o que um RAT pode fazer se for executado. A combinação de controle de e-mail, políticas de execução, monitoramento de comportamento e planos de resposta rápidas é a defesa mais efetiva diante de campanhas que exploram confiança em serviços legítimos e automatizam o engano.

Se você quiser aprofundar a proteção ao nível do Windows contra injeções e digitalização antimalware, a documentação técnica sobre AMSI e APIs relacionadas oferece contexto útil para equipamentos defensores: https://learn.microsoft.com/en-us/windows/win32/api/amsi/. Implementar estas recomendações reduz a superfície explorada por campanhas que se apoiam em domínios reputados para esconder sua infraestrutura maliciosa.