Uma campanha identificada nesta semana está explorando um elemento pouco valorizado pela telemetria de rede: o banner de servidores FTP.

Pesquisadores observaram atores de ameaça utilizando mensagens de boas-vindas (enviadas pelo servidor FTP logo após uma conexão e antes da autenticação) para armazenar e distribuir comandos maliciosos. Esses comandos são recuperados por stagers em hosts comprometidos e dão continuidade à cadeia de infecção, culminando na entrega dos RATs E4del e PINHOLE.

A técnica transforma banners FTP em um Dead Drop Resolver (DDR): em vez de embutir diretamente o endereço ou as instruções de C2 no malware, o código consulta uma fonte externa aparentemente banal, interpreta o conteúdo retornado e recupera a próxima etapa da operação.

Embora a técnica não seja, por si só, uma vulnerabilidade no protocolo FTP, ela demonstra novamente que controles focados apenas em reputação de domínio, URL ou assinatura de payload podem ignorar canais alternativos de comando e controle.

Cadeia de infecção

A cadeia observada começa com um arquivo ZIP, provavelmente entregue por campanhas de phishing. Dentro do arquivo há um atalho malicioso no formato .LNK, usado para iniciar a execução da cadeia no endpoint.

A partir daí, o fluxo identificado segue esta lógica:

1. A vítima executa o arquivo .LNK presente no ZIP.

2. O atalho aciona componentes da cadeia, incluindo PowerShell.

3. O stager estabelece conexão com um servidor FTP controlado ou comprometido pelos operadores.

4. O banner FTP retorna conteúdo que contém instruções para a próxima fase.

5. O código recuperado orienta o download, a execução ou a configuração dos RATs E4del e PINHOLE.

O uso do banner é particularmente interessante porque não exige que o atacante hospede um script visível em uma URL convencional. O conteúdo é entregue na resposta inicial do serviço FTP, o que pode reduzir a exposição a mecanismos tradicionais de bloqueio baseados em URLs e facilitar a troca rápida de infraestrutura.

Fonte: SOCRadar

E4del: Electron, Node.js e falsa aplicação Discord

O E4del é um RAT baseado em Node.js, distribuído dentro de uma aplicação Electron assinada digitalmente que se apresenta como Discord. Esse tipo de empacotamento pode dificultar a triagem inicial: aplicações Electron são comuns em ambientes corporativos, trazem múltiplos recursos legítimos e frequentemente geram árvores de processos menos intuitivas para analistas.

Também foi identificado um módulo Node.js denominado crypto32.node, potencialmente relacionado a escalada de privilégios. No momento da análise, porém, esse componente não pôde ser recuperado para avaliação aprofundada.

PINHOLE: C2 distribuído e injeção

O segundo payload, PINHOLE, usa uma estratégia mais voltada à resiliência operacional. Sua configuração de C2 é recuperada a partir de Pins do Pinterest e perguntas de pesquisas no SurveyMonkey (serviços legítimos que podem dificultar bloqueios indiscriminados e aumentar a durabilidade da infraestrutura).

No endpoint, o PINHOLE busca minimizar sua exposição em memória. A amostra analisada utiliza uma técnica descrita como shellcode fluctuation, mantendo apenas uma seção de 4 KB do payload na memória por vez. Ao final, o código é injetado em uma instância suspensa de ApplicationFrameHost.exe por meio de Early Bird APC Injection.

Fonte: SOCRadar

Mitigação

• Bloquear FTP de saída para a internet onde não houver necessidade operacional documentada.

• Inspecionar e restringir a execução de arquivos .LNK oriundos de ZIP, e-mail, Downloads e compartilhamentos não confiáveis.

• Reforçar regras de detecção para PowerShell iniciado por Explorer, atalhos e arquivos compactados.

• Monitorar conexões para serviços FTP desconhecidos, inclusive quando o volume de tráfego for baixo.

• Avaliar alertas para ApplicationFrameHost.exe criado suspenso ou associado a técnicas de injeção.

• Investigar aplicações Electron assinadas, porém executadas fora de caminhos legítimos ou sem instalação conhecida.

• Restringir a execução de ferramentas de script e runtimes não aprovados, incluindo Node.js, quando compatível com o ambiente.

• Enriquecer a inteligência de ameaças com os indicadores divulgados pelos pesquisadores e validar bloqueios em DNS, proxy, firewall e EDR.

Conclusão

Esta campanha reforça que canais de C2 não precisam se parecer com C2. Um banner FTP, normalmente visto como simples mensagem de identificação do serviço, pode se tornar um repositório de instruções para malware. Para analistas, a lição é clara: o contexto da conexão importa tanto quanto o domínio, a porta ou a assinatura do payload.

Referências

• [1] – Hackers abuse FTP server banners to deliver new Windows malware
• [2] – FTP Banners: The New Dead Drop Resolver Delivering Novel RATs
• [3] – Hackers usam banners de servidores FTP para distribuir novo malware para Windows