O atalho mortal: assim um simples .LNK disfarçado rouba credenciais e monta um túnel FRP para dominar seu RDP

Pesquisadores de segurança desenterraram uma ferramenta de acesso remoto de origem russa que se distribui por acessos diretos maliciosos do Windows (.LNK) camuflados como pastas que contêm chaves privadas. A plataforma de gestão de superfície de ataque Censys foi a que deu a voz de alarme sobre este conjunto de utilitários personalizado em .NET, que combina vários binários para roubar credenciais, registrar pulsações de teclado, sequestrar sessões RDP e criar túneis inversos através Fast Reverse Proxy (FRP). Para contexto e acompanhamento da pesquisa original, consultar a seção de pesquisa do Censys em seu blog: https://censys.io/blog.

O vetor de entrada é simples e eficaz do ponto de vista do atacante: um arquivo .LNK com aspecto inocuo - no caso documentado levava um nome semelhante a "Private Key #kfxm7p9q_yek.lnk" - usa o ícone de uma pasta para que a vítima faça duplo clique. Esse gesto dispara uma sequência por etapas em que cada fase decifra ou descomprime a seguinte até implantar a ferramenta completa. O dropper no acesso direto invoca um comando PowerShell executado em oculto, remove mecanismos de persistência prévios na pasta de Início do Windows e descodificar em memória um blob codificado em Base64 que contém o próximo carregador.

O stager que segue testa a conectividade TCP para um servidor remoto e descarga componentes adicionais, ao mesmo tempo que reajusta as regras de firewall, cria tarefas programadas para persistência, adiciona usuários locais de porta traseira e levanta um servidor de cmd.exe em um porto concreto (5267) acessível através do túnel FRP operado pelo atacante. A implementação do túnel é apoiada em uma livraria escrita em Go que é injetada em memória para estabelecer canais inversos tanto RDP como TCP; o projeto FRP usado legitimamente para tunelizado está publicado no GitHub e ajuda a entender os mecanismos que abusam dele: https://github.com/fatedier/frp.

Um dos executáveis baixados, identificado como ctrl.exe, atua como carregador em .NET e arranca uma plataforma de gestão — o “CTRL Management Platform” — que pode operar em modo servidor ou em modo cliente, segundo os argumentos com que se lance. A comunicação de comando e controle não é realizada como trafico saliente tradicional: em vez disso, a ferramenta cria uma tubulação nomeada do Windows (named pipe) para trocar comandos localmente e delega toda a interação de rede a uma única sessão RDP transferida pelo túnel FRP. Isso significa que, salvo a sessão RDP, apenas há balizas de C2 na rede que permitam a detecções convencionais identificar a intrusão, uma tática concebida para reduzir a pegada forense nas comunicações.

As capacidades do pacote são múltiplas e gorduras no seu desenho: coleta de informações do sistema, execução de um módulo de roubo de credenciais que simula a janela de verificação do PIN do Windows Hello, instalação de um keylogger que captura tudo o que foi escrito e o guarda em C:\Temp\keylog.txt através de um hook de teclado, e a possibilidade de mostrar notificações tipo "toast" que são feitas por vários navegadores para induzir a vítima a introduzir credenciais ou executar cargas adicionais. O módulo de phishing de credenciais é implementado como uma aplicação WPF com uma interface que imita a verificação do PIN; também bloqueia atalhos de teclado como Alt+Tab ou Alt+F4 e usa automação da interface (SendKeys) para validar em paralelo o PIN real e, ainda assim, registrar a entrada fraudulenta quando ocorre.

Complementam o arsenal dois binários chave: um que carrega em memória o componente de túnel inverso (FRPWrapper.exe) e outro que permite multiplicar sessões RDP concorrentes (RDPWrapper.exe). Censys destaca que nenhum desses executáveis inclui endereços de controle incrustados, e que toda a exfiltração de dados é feita através do túnel FRP ao escrever ou ler a partir do tubo nomeada local, outra escolha de desenho orientada para a discrição operacional.

Este caso é útil para entender uma tendência que os analistas vêm observando: ferramentas à medida, criadas por operadores únicos ou pequenos grupos, que priorizam a segurança operacional acima de oferecer um catálogo extenso de funções. Ao concentrar a comunicação pelo RDP através de túneis inversos, se elude grande parte dos padrões de beaconing que detectam muitas soluções de defesa baseadas em rede, e isso complica a detecção precoce.

O que pode ser feito para reduzir o risco e detectar este tipo de ameaças? A primeira barreira é a prevenção do engano: lidar com ceticismo acessos diretos recebidos por correio ou descarregados de locais não fiáveis e, em geral, evitar abrir arquivos cuja origem não esteja verificada. A nível técnico convém rever se há tarefas programadas inesperadas, mudanças recentes em regras do firewall, o aparecimento de usuários locais desconhecidos e a existência de processos .NET incomuns; ferramentas como Autoruns e Process Explorer do Sysinternals ajudam a inspeccionar arranques e processos(documentação: https://docs.microsoft.com/en-us/sysinternals/downloads/autoruns). Também é prudente avaliar e reforçar a configuração do RDP segundo os guias da Microsoft para evitar acessos remotos não autorizados: https://learn.microsoft.com/en-us/windows-server/remote/remote-desktop-services/rds-plan-security.

Desde a detecção na rede, embora a tática use RDP sobre um túnel para minimizar traços, é possível procurar sinais indiretos: conexões salientes a servidores FRP incomuns, atividade em portos não habituais, transferência de arquivos através de sessões remotas, ou criação de sockets a portos atípicos por processos que não deveriam abri-los. No plano do endpoint, convém monitorizar a criação de tubulações nomeadas e a escrita contínua em arquivos temporários de registro de teclas, além de permitir proteção reforçada contra execução de scripts e Office. O quadro MITRE ATT&CK fornece descrições técnicas e táticas relacionadas que podem ajudar a classificar e priorizar detecções, por exemplo em relação a keylogging e execução por parte do usuário: https://attack.mitre.org/techniques/T1056/ e https://attack.mitre.org/techniques/T1204/.

Finalmente, convém lembrar que tecnologias legítimas como o Windows Hello podem se tornar cogumelos quando sua interface é emulada por um atacante. Para compreender melhor como o Windows Hello funciona e porque a sua UI pode ser suplantada, a documentação oficial oferece uma revisão do seu design e das proteções que ele traz: https://learn.microsoft.com/en-us/windows/security/identity-protection/hello-for-business/hello-overview.

O achado mostra que os adversários continuam a aperfeiçoar métodos para permanecer abaixo do radar e que as equipes de segurança devem combinar controles de endpoint, monitoramento de rede e formação de usuários para fechar a janela de exposição. A combinação de engenharia social (um .LNK convincente), execução em memória, persistência silenciosa e tunelizado de desktop remoto é eficaz e, sem uma abordagem de defesa em camadas, difícil de detectar até que o dano já é feito. Manter sistemas atualizados, restringir a exposição de serviços remotos e monitorar os sinais mencionados pode marcar a diferença entre uma tentativa frustrada e uma intrusão bem sucedida.