Hackers usam logs de eventos do Windows para armazenar malware

Os hackers têm se aperfeiçoado bastante em suas campanhas de malware. Agora, por exemplo, pesquisadores de segurança notaram uma campanha maliciosa que usava logs de eventos do Windows para armazenar malware. Essa técnica não havia sido documentada publicamente anteriormente para ataques em estado selvagem, revelando o refinamento dos hackers em seus ataques.

O método permitiu que o agente da ameaça por trás do ataque plantasse malware sem arquivo no sistema de arquivos em um ataque repleto de técnicas e módulos projetados para manter a atividade o mais furtiva possível.

Logs de eventos do Windows são usados para armazenamento de malware

Pesquisadores da Kaspersky coletaram uma amostra do malware depois que um produto da empresa equipado com tecnologia para detecção baseada em comportamento e controle de anomalias o identificou como uma ameaça no computador de um cliente. A investigação revelou que o malware fazia parte de uma campanha “muito direcionada” e contava com um grande conjunto de ferramentas, personalizadas e disponíveis comercialmente.

Uma das partes mais interessantes do ataque é injetar cargas de código de shell nos logs de eventos do Windows para os Serviços de Gerenciamento de Chaves (KMS), uma ação concluída por um dropper de malware personalizado. Denis Legezo, pesquisador-chefe de segurança da Kaspersky, diz que esse método foi usado “pela primeira vez ‘na natureza’ durante a campanha maliciosa”.

O dropper copia o arquivo de manipulação de erros do sistema operacional legítimo WerFault.exe para ” C:\Windows\Tasks ” e, em seguida, descarta um recurso binário criptografado para o ” wer.dll “(Windows Error Reporting) no mesmo local, para sequestro de ordem de pesquisa de DLL para carregar código malicioso.

O sequestro de DLL é uma técnica de hacking que explora programas legítimos com verificações insuficientes para carregar na memória uma biblioteca de vínculo dinâmico (DLL) maliciosa de um caminho arbitrário.