PseudoManuscrypt

01Sumário executivo

O PseudoManuscrypt foi identificado pela Kaspersky ICS CERT em junho de 2021 e recebeu esse nome porque o seu carregador guarda semelhanças com o Manuscrypt, ferramenta associada ao grupo Lazarus, sem que a atribuição se sustente [1]. Entre 20 de janeiro e 10 de novembro de 2021, os produtos da fabricante bloquearam a família em mais de 35.000 computadores em 195 países [1].

A distribuição não é dirigida. O implante chega por uma plataforma de malware como serviço que empacota cargas dentro de instaladores de software pirata, promovidos por envenenamento de resultados de busca [1] [3]. Isso produz um perfil de vítima peculiar, porque a mesma campanha atinge o computador doméstico e a estação de engenharia de uma planta industrial. Segundo a telemetria da fabricante, 7,2% das máquinas atacadas pertenciam a sistemas de controle industrial, com concentração em engenharia e automação predial [1].

Três características tornam o caso relevante para uma rede corporativa e de ensino:

• o vetor é consentido pelo usuário, o que anula controles de perímetro e coloca a política de software e o controle de execução no centro da defesa;
• o canal de comando e controle usa KCP sobre UDP na porta 53, com TCP 443 como reserva [2], portanto se disfarça de DNS e de HTTPS diante de uma regra de egresso ingênua;
• o implante desativa defesas e apaga registros de eventos [1], de modo que a ausência de alerta no antivírus não é evidência de ausência de infecção.

As recomendações se organizam em detecção (seção 09), que parte de DNS, de fluxos UDP anômalos e de telemetria de EDR (Endpoint Detection and Response), e em resposta (seção 10), que trata a estação como comprometida e assume vazamento de credenciais.

02Identificação do objeto analisado

03O mercado que entrega o implante

Compreender o modelo de distribuição importa mais aqui do que em uma campanha dirigida, porque ele determina onde a defesa é possível. O PseudoManuscrypt não escolhe as suas vítimas: ele é uma das cargas compradas em uma plataforma de pagamento por instalação (PPI), na qual o operador paga por máquina infectada e escolhe filtros de país e de perfil [3].

A cadeia comercial funciona da seguinte forma:

1. o distribuidor mantém páginas otimizadas para busca oferecendo software pirata, ativadores, geradores de chave e cópias de ferramentas de engenharia;
2. o usuário procura por um ativador, encontra a página no topo do resultado e baixa um arquivo compactado, com frequência protegido por senha para escapar da inspeção de conteúdo;
3. o instalador dentro do arquivo executa o carregador do serviço de distribuição, que consulta a plataforma e baixa as cargas contratadas naquele momento;
4. o PseudoManuscrypt é uma dessas cargas, ao lado de dezenas de outras famílias, entre ladrões de dados, mineradores e ransomware [3].

04Cadeia de infecção

A fonte primária documenta duas variantes de cadeia, ambas partindo do arquivo baixado pelo usuário e terminando no módulo principal de espionagem [1]. As duas ilustram o mesmo padrão: vários estágios curtos, cada um com nome banal, para diluir a responsabilidade entre processos que isoladamente parecem inofensivos.

4.1Variante por gerador de chave

A primeira cadeia parte de um arquivo de lote e termina em uma descarga remota do módulo principal:

key.bat
  └─ Keygen-step-4.exe        # e41826b342686c7f879474c49c7eed98
       └─ flash player.exe    # 2aab0ec738374db4e872812a84a0bc11
            └─ 2.exe          # 8b9f6b0c98c0afdd75c2322f1ca4d0e8
                 └─ game.exe  # baixado de google.diragame[.]com

O último estágio é obtido em hxxps://google[.]diragame[.]com/userf/3002/gogonami.exe [1]. Note o padrão de nomenclatura: a palavra game aparece no subdomínio de boa parte da infraestrutura desta campanha, incluindo os servidores de comando e controle da seção 07.

4.2Variante por instalador agrupado

A segunda cadeia é a assinatura clássica do serviço de pagamento por instalação, com um instalador que descompacta vários executáveis numerados e os dispara em sequência:

main_setup_x86x64.exe        # 1fecb6eb98e8ee72bb5f006dd79c6f2f
  └─ setup_installer.exe     # 5de2818ced29a1fedb9b24c1044ebd45
       └─ setup_install.exe  # 58efaf6fa04a8d7201ab19170785ce85
            └─ metina_8.exe  # 839e9e4d6289eba53e40916283f73ca6
                 └─ crack.exe # 89c8e5a1e24f05ede53b1cab721c53d8

Esta variante compartilha infraestrutura com a botnet Glupteba [1]. O nome crack.exe no estágio final é o próprio PseudoManuscrypt.

05Persistência, evasão e residência no registro

Esta é a parte mais acionável do relatório, porque descreve artefatos que sobrevivem no disco e no registro da máquina infectada, ao contrário do tráfego, que só existe no momento da comunicação.

5.1Serviço do Windows como âncora

O carregador se instala como serviço do Windows, com biblioteca de nome aleatório [1]. A fonte documenta dois nomes de serviço em variantes distintas:

O nome de exibição da segunda variante contém um erro de grafia evidente, Layeerr, e é justamente esse tipo de imperfeição que uma busca por texto exato encontra em segundos em toda a frota.

5.2Carga guardada no registro, não em arquivo

O implante armazena a carga cifrada dentro do registro, sob HKLM\SOFTWARE\Classes\CLSID, em um identificador derivado do MachineGuid da máquina, o que torna o caminho diferente em cada vítima [1].

A técnica derrota dois controles ao mesmo tempo. Primeiro, uma varredura de disco por executável malicioso não encontra a carga, porque ela não está em arquivo. Segundo, um indicador de caminho de registro colhido em uma vítima não serve para procurar nas demais, porque a semente é local. A caça precisa então mirar o formato, ou seja, valores anormalmente grandes e binários sob CLSID, e não um caminho literal.

5.3Neutralização de defesas

Segundo a fonte primária [1], o implante realiza as seguintes ações evasivas:

• grava exclusão de caminho em HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths, para que o próprio artefato deixe de ser inspecionado;
• encerra processos de mais de trinta soluções de segurança e apaga chaves de registro de fabricantes como Symantec, BitDefender, F-Secure e ESET;
• limpa registros de eventos do Windows, destruindo a trilha que a resposta a incidentes usaria para datar a infecção;
• manipula o arquivo hosts, redirecionando resoluções de nome no próprio host.

5.4Artefatos em disco

Apesar da residência no registro, a fonte documenta caminhos fixos que valem uma varredura [1]:

O último é o mais valioso dos três, porque o nome não varia. Uma varredura por esse arquivo em System32 é barata, específica e conclusiva.

06Capacidades de espionagem

O módulo principal evoluiu entre as versões documentadas. A tabela separa o que já existia na primeira versão do que foi acrescentado a partir de julho de 2021, porque essa distinção importa para estimar o dano de uma infecção antiga [1].

07Comando e controle: KCP, DGA e sinkhole

7.1O protocolo

O canal de exfiltração usa uma implementação do KCP, protocolo de transporte confiável construído sobre UDP, antes visto apenas no arsenal do APT41 [1]. O trabalho de sinkhole da Bitsight detalha a operação em rede: KCP sobre UDP na porta 53, com TCP na porta 443 como reserva, em duas camadas, uma de metadados iniciada pelo byte 0x43 e outra de carga, com compressão zlib ou RtlCompressBuffer e cifra XOR opcional de chave 0x88 [2].

7.2Servidores e geração de domínios

A fonte primária lista os servidores embutidos nas amostras analisadas [1]:

Bloquear apenas esses cinco nomes é insuficiente, porque o implante gera domínios de reserva. O algoritmo DGA (Domain Generation Algorithm) documentado pela Bitsight [2] é circular e determinístico:

1. calcula um MD5 sobre o domínio de C2 embutido concatenado a uma chave constante, separados por vírgula;
2. extrai oito bytes das posições 4 a 12 do resumo;
3. converte os valores hexadecimais em letras, com os dígitos virando a a j e as letras maiúsculas virando m a r;
4. acrescenta o sufixo .com.

O resultado é um espaço de cerca de 585.723 domínios a partir do C2 principal e 812.811 a partir do secundário [2]. Todos obedecem ao mesmo formato, e é esse formato, e não a lista, que serve de regra de detecção: dez caracteres do conjunto a a j e m a r, seguidos de .com.

7.3Estado atual da infraestrutura

A Bitsight registrou mais de cinquenta desses domínios gerados e os converteu em sinkhole, passando a observar a população de vítimas [2]. Isso significa que parte do tráfego de C2 desta campanha hoje chega a um servidor de pesquisa, e não ao operador. Como no caso de qualquer sinkhole, a consequência prática é que o beaconing continua saindo das máquinas infectadas, e é justamente por isso que ele permanece detectável: o host segue chamando, ainda que ninguém responda com ordens.

08Alcance da campanha e exposição industrial

Duas medições independentes dimensionam a campanha. A telemetria de antivírus da Kaspersky contabiliza mais de 35.000 computadores em 195 países entre 20 de janeiro e 10 de novembro de 2021, com picos de distribuição em 27 de março e 15 de maio [1]. O sinkhole da Bitsight, olhando o outro lado do canal, observou cerca de 500.000 máquinas em oito meses, sobre 2,2 milhões de endereços IP distintos, com pico de 51.500 identificadores únicos de cliente e botnet diário entre 7.000 e 16.000 máquinas [2].

A distribuição setorial das vítimas industriais, segundo a telemetria da fonte primária [1], é o dado que justifica a severidade atribuída a esta família:

Fora do universo industrial, a concentração geográfica reportada é Rússia com 10,1%, Índia com 10% e Brasil com 9,3% [1]. O Brasil é, portanto, o terceiro país mais atingido pela campanha, o que basta para justificar a caça preventiva descrita na seção seguinte mesmo sem alerta em aberto.

09Detecção

A ordem abaixo reflete a relação entre custo e cobertura. Os dois primeiros itens exigem apenas consultas sobre dados que a maioria das instituições já coleta.

9.1Exclusões do Windows Defender, a consulta de maior retorno

Comece por aqui. Inventarie as exclusões de caminho em toda a frota e confronte a lista com o que a equipe de TI configurou de propósito. Toda exclusão não explicada é candidata a investigação imediata, e a consulta é barata em qualquer EDR.

DeviceRegistryEvents
| where RegistryKey has "Windows Defender\\Exclusions"
     or RegistryValueData has "System Remote Data Simulation Layeerr"
| project Timestamp, DeviceName, ActionType, RegistryKey,
          RegistryValueName, RegistryValueData,
          InitiatingProcessFileName, InitiatingProcessFolderPath
| order by Timestamp asc

9.2Artefatos fixos em disco e em serviço

O arquivo de teclas digitadas tem nome constante entre vítimas (seção 5.4), o que o torna o melhor alvo de varredura ampla. O mesmo vale para o nome de exibição do serviço.

DeviceFileEvents
| where FileName == "9cda11af69ab0a2b6a9167f7131e7b93.key"
     or (FolderPath has @"\Windows\System32"
         and FileName matches regex @"^[0-9A-Z]{10}\.tmp$")
| project Timestamp, DeviceName, FolderPath, FileName,
          InitiatingProcessFileName, InitiatingProcessCommandLine
| order by Timestamp asc

9.3DNS e o formato dos domínios gerados

A lista de domínios da seção 7.2 é um piso. O ganho real vem de procurar o formato produzido pelo algoritmo, ou seja, dez caracteres restritos a a a j e m a r, seguidos de .com. O conjunto de letras exclui k, l e todas as vogais fora de a, e e i em posição arbitrária, o que torna o padrão bastante específico contra nomes legítimos.

index=dns (query="*mygametoa.com" OR query="*mygametob.com"
           OR query="*yg9.me" OR query="*vrthcobj.com"
           OR query="*diragame.com" OR query="*diregame.live")
| append
  [ search index=dns query_regex="^[a-jm-r]{10}\.com$" ]
| stats count, dc(query) AS dominios_distintos,
        min(_time) AS primeiro, max(_time) AS ultimo BY src_ip
| sort - dominios_distintos, - count

9.4Fluxos de rede

• Em NetFlow ou IPFIX, procure UDP com destino à porta 53 partindo de estação de usuário para endereço que não seja o resolvedor institucional. É o indicador de rede mais direto desta família e vale como alerta autônomo.
• Procure volume de saída sustentado em UDP 53, incompatível com consulta DNS. Captura de vídeo de tela produz fluxo contínuo, não rajadas curtas.
• Havendo inspeção de conteúdo, sinalize datagrama em porta 53 cujo primeiro byte da carga seja 0x43 e que não obedeça ao formato de mensagem DNS [2].
• Considere o TCP 443 de reserva: conexão persistente para destino sem certificado TLS válido, ou sem negociação TLS alguma, é anomalia.

9.5Regras de IDS e IPS

As regras abaixo cobrem o canal de reserva e o cabeçalho de agente de usuário documentado na fonte primária, que é obsoleto e por si só anômalo em uma frota atual [1]. Seguem a sintaxe documentada em [5].

# Agente de usuário obsoleto documentado na campanha
alert http $HOME_NET any -> $EXTERNAL_NET any (
  msg:"CIBERLAB PSEUDOMANUSCRYPT User-Agent MSIE 6.0 legado";
  flow:established,to_server;
  http.user_agent;
  content:"Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1)";
  classtype:trojan-activity; priority:2;
  sid:9100001; rev:1;
)

# UDP 53 de saída que não é consulta DNS, fora do resolvedor
alert udp $HOME_NET any -> !$DNS_SERVERS 53 (
  msg:"CIBERLAB PSEUDOMANUSCRYPT Possivel KCP em porta 53";
  app-layer-protocol:!dns;
  dsize:>20;
  classtype:trojan-activity; priority:1;
  sid:9100002; rev:1;
)

10Mitigação e resposta

10.1Contenção imediata

1. Bloqueie os domínios da seção 7.2 no resolvedor recursivo, no proxy e no firewall de borda, sempre com registro em log. O objetivo é gerar alerta a cada tentativa, e não apenas impedir a conexão.
2. Isole a estação identificada, mantendo-a ligada. Não reinicie, porque a carga vive cifrada no registro e é decifrada em memória, que é a melhor evidência disponível.
3. Preserve evidências antes de qualquer remediação: captura de memória, cópia da colmeia de registro SOFTWARE, o arquivo de teclas digitadas quando presente, e exportação dos logs de EDR, proxy e DNS da janela relevante. Aja rápido, porque o implante limpa o log de eventos.

10.2Erradicação

1. Enumere o serviço malicioso e a biblioteca associada, e reconstitua a cadeia parental até o instalador original baixado pelo usuário.
2. Remova a exclusão indevida do Windows Defender e verifique se as chaves de fabricantes de segurança apagadas precisam de reinstalação do produto.
3. Localize e extraia o valor sob HKLM\SOFTWARE\Classes\CLSID que guarda a carga, para análise própria. Não conte com um caminho fixo, porque ele deriva do MachineGuid local (seção 5.2).
4. Reinstale o sistema a partir de imagem confiável. Dada a desativação de defesas e a possibilidade de outras cargas terem sido entregues pelo mesmo serviço de distribuição, remoção pontual não oferece garantia de erradicação.
5. Rotacione todas as credenciais usadas na máquina, com prioridade para VPN, conta de domínio, chaves SSH, tokens de aplicação e sessões de navegador. Havendo registro de teclas ativo, assuma que todas foram capturadas (seção 06).

10.3Avaliação de alcance

Verifique nos logs de DNS e de fluxo se outras estações apresentam o mesmo padrão, e trate a origem como problema de política, não como caso isolado. Se a infecção veio de instalador pirata, procure a mesma origem de download nos logs de proxy da instituição inteira, porque uma página que atendeu um usuário costuma ter atendido vários. Considere ainda que o serviço de distribuição entrega dezenas de famílias distintas por instalação [3], portanto a presença do PseudoManuscrypt em um host não exclui a presença simultânea de um ladrão de dados ou de um minerador.

10.4Prevenção estrutural

10.5Mapeamento MITRE ATT&CK, acesso inicial e evasão

As técnicas abaixo derivam da literatura das seções 03 a 05, e não de observação local. Os nomes seguem o catálogo oficial [6].

10.6Mapeamento MITRE ATT&CK, coleta e comando e controle

11Indicadores de comprometimento

12Limitações da análise

• Não houve detonação em sandbox nem análise de amostra por esta equipe. Todo o conteúdo técnico é inteligência de fonte aberta, e nenhuma afirmação deste documento foi reproduzida experimentalmente.
• Não há evidência de incidente local. O relatório é um perfil de ameaça destinado a orientar caça preventiva, não a documentar um caso ocorrido na instituição.
• A fonte primária [1] é de dezembro de 2021 e a pesquisa de sinkhole [2] é de outubro de 2022. Comportamento, infraestrutura e nomes de serviço podem ter mudado desde então, e a própria fonte de sinkhole registra uma troca de versão do implante durante a observação.
• Os domínios de comando e controle não foram verificados quanto ao estado atual. Podem estar sob sinkhole, expirados ou reaproveitados por terceiros sem relação com a campanha.
• Os hashes cobrem uma fração das cem versões catalogadas do carregador, e a lista de domínios gerados pelo algoritmo é, por construção, aberta.
• Os percentuais setoriais e geográficos da seção 08 vêm da telemetria de um único fabricante e refletem a sua base instalada, não a população mundial de máquinas.
• As duas medições de alcance da seção 08 usam metodologias diferentes e não são somáveis.
• A atribuição a operador de língua chinesa é indiciária, e este documento não a endossa como conclusão.
• As regras de IDS da seção 9.5 são propostas deste relatório e não foram validadas em tráfego real. Publique em modo de alerta antes de qualquer bloqueio.
• O padrão de domínio da seção 9.3 gera falso positivo por construção, e depende de correlação por volume para ser útil.