Memória como arma: Lazarus e o novo domínio dos ataques financeiros que não deixam rastros em disco

A pesquisa publicada pela Fox-IT sobre RemotePE, um troiano de acesso remoto (RAT) empregado pelo grupo Lazarus, confirma uma tendência crítica na ciberameaça dirigida às finanças e criptomoedas: ataques cada vez mais concebidos para permanecer em memória e evitar deixar marcas em disco. Embora a execução em memória não seja nova, a combinação de carregadores encadeados, o uso de DPAPI para desencriptar payloads e técnicas de evasão como Hell's Gate e o adesivo de ETW mostram um desenvolvimento deliberado orientado à sigilosidade a longo prazo.

RemotePE não atua apenas: faz parte de um conjunto de ferramentas onde o DPAPILoader inicializa o processo ao desencriptar e carregar o RemotePELoader, que por sua vez descarrega e executa o RemotePE apenas em memória. Esse projeto reduz significativamente as evidências forenses em disco e obriga as defesas a se concentrarem na memória, na telemetria de processos e no tráfego de rede.

Para as organizações financeiras e de criptomoedas, a implicação prática é dupla. Por um lado, a presença de uma cadeia de intrusão onde o ator interage com a vítima (social engineering via Telegram e domínios falsos de Calendly/Picktime) sublinha que a segurança técnica deve ser complementada com controles humanos e processos verificáveis para reuniões, onboarding e pedidos de acesso. Por outro lado, a capacidade de manter acesso prolongado sem detecção aumenta o risco de operações finais de alto impacto como fraude financeira, extracção de chaves ou esvaziamento de bóbadas de criptoactivos.

Do ponto de vista técnico, há sinais concretos a monitorar: uso abusivo de DPAPI para armazenar ou recuperar cargas úteis, conexões salientes a domínios suspeitos como "aes-secure[.]net", modificações na instrumentação de eventos do Windows (ETW) e técnicas de injeção avançadas tipo Hell's Gate. A detecção eficaz exige correlacionar telemetria de endpoints, registros de rede e capturas de memória antes que o ator execute ações de alto impacto.

Quanto às capacidades do malware, RemotePE implementa comandos para gestão de arquivos, manipulação de DLLs em memória, controle de processos, persistência no diretório de trabalho e uma ordem de remoção que descreve arquivos repetidamente antes de removê-los. Este padrão de eliminação, visto também em PondRAT e POOLRAT, sugere uma intenção de frustrar a análise forense após a fase de exfiltração ou quando termina a operação.

Para defensores e equipamentos de resposta, as prioridades operacionais devem incluir a instrumentação da memória dos endpoints, o bloqueio de canais de ex-filtração conhecidos e a capacidade de adquirir um retorno rápido de memória. Ferramentas como Volatility e marcos de análise de memória tornam-se cruciais para identificar artefatos que nunca chegaram a disco(mais informações em Volatility Foundation).

Também é recomendável enriquecer as regras de detecção com indicadores de comportamento: processos que carregam módulos desconhecidos em memória, processos que realizam chamadas atípicas à DPAPI, anomalias no uso de ETW e padrões de comunicação a servidores de comando e controle. Complementar a telemetria de endpoints com monitoramento eBPF ou agentes de memória pode marcar a diferença frente a técnicas de execução em memória.

A resposta a uma infecção suspeitada por RemotePE deve priorizar a contenção e a preservação da evidência em memória: isolar o host, volcar memória e coletar tráfego de rede, bloquear domínios e endereços IP identificados, e rotar credenciais e chaves que poderiam ter sido comprometidas. A detecção tardia obriga a assumir compromisso de contas e credenciais; portanto, a rotação e a verificação de integridade são passos imprescindíveis.

No plano organizacional, este caso reforça a necessidade de adotar modelos de defesa em profundidade: autenticação multifator forte, políticas de mínimo privilégio, segmentação de redes para infraestruturas críticas e processos rígidos para aceitação de reuniões ou solicitações de acesso externos. A formação recorrente em engenharia social específica para canais populares entre o setor cripto, como o Telegram, deve ser parte de qualquer programa de sensibilização.

Finalmente, compreender o adversário importa: Lazarus tem mostrado uma abordagem persistente sobre objetivos financeiros e de criptomoedas. Recursos de inteligência de ameaças como as fichas técnicas do MITRE permitem contextualizar táticas e técnicas conhecidas do grupo e ajustar as defesas em conformidade (ver perfil em MITRE ATT&CK - Lazarus). Compartilhar informações com peers do setor e com provedores de segurança também acelera a identificação de campanhas direcionadas e o bloqueio de infraestrutura maliciosa.

A lição chave para as organizações em risco é clara: a era do malware que não deixa rastro em disco exige visibilidade sobre a memória, resposta rápida e controles humanos que prevaleçam o acesso inicial. Sem esses elementos, mesmo defesas aparentemente robustas podem ser o ambiente em que atores com recursos sustentam operações silenciosas até executar um golpe de alto impacto.