Uma variante até então não documentada da backdoor Sirius foi identificada durante uma investigação prioritária de cliente, revelando uma campanha em várias etapas que esconde código malicioso dentro de processos legítimos do Windows.
A análise disponível detalha acesso remoto discreto e persistência, embora não comprove capacidades específicas de extração de senhas.
A urgência financeira e a personalização regional refletem técnicas de phishing (tentativa de fraude por e-mail ou mensagens falsas) já conhecidas, que exploram a confiança em marcas familiares.
O documento, visualmente em branco, usa os objetos /OpenAction e /Launch do PDF (Portable Document Format) para invocar o PowerShell com argumentos de janela oculta, modo não interativo e contorno da política de execução.
O ponto crucial é que a execução depende de a vítima aprovar o aviso de segurança do leitor de PDF. Apenas abrir o anexo não garante a comprometimento do computador.
Um comando do PowerShell codificado em Base64 descriptografa um bloco incorporado usando AES (Advanced Encryption Standard) no modo CBC (Cipher Block Chaining), descompacta o conteúdo com GZip e carrega o assembly .NET resultante diretamente na memória por meio de reflexão.
Isso reduz os artefatos executáveis disponíveis para a varredura convencional de arquivos, uma característica marcante do fileless malware (malware sem arquivos).
O primeiro carregador adiciona outra camada de ofuscação. Ele deriva uma chave RC4 por meio de manipulação XOR (ou exclusivo) e de hash SHA256 (Secure Hash Algorithm de 256 bits), descriptografa um recurso interno e reconstrói o próximo assembly extraindo cada terceiro byte.
Ao descartar os dados de preenchimento intermediários, o carregador restaura o cabeçalho MZ do executável antes da execução reflexiva.
Pesquisadores da Trellix afirmaram que a campanha começa com e-mails em coreano que se passam por notificações de cobrança da FedEx. Uma falsa nota fiscal de imposto exigindo 217.740 KRW (won sul-coreano) direciona os destinatários para o arquivo Fedex_tax_receipt.zip, que contém um PDF armado.
O segundo carregador tenta interferir na telemetria de segurança (coleta de dados de monitoramento) por meio de modificações (patches) nas funções EtwEventWrite e NtManageHotPatch.
Essas modificações visam a visibilidade sobre a atividade do malware, mas as evidências disponíveis não demonstram que todo o registro de eventos do Windows ou a detecção em endpoints se torne ineficaz.
Variante da backdoor Sirius
Em seguida, o injetor obtém o arquivo zeus.dat do domínio dubaitechnicalservice[.]ae. Sua rotina de download oferece suporte a múltiplas interfaces de rede do .NET, enquanto uma URL (endereço na web) criptografada com RC4 oculta o destino dentro do binário.
Para cargas nativas, como a Sirius, o carregador cria um processo legítimo em estado suspenso, grava conteúdo malicioso na memória desse processo e enfileira a execução por meio de um procedimento assíncrono (APC, Asynchronous Procedure Call).
Possíveis processos hospedeiros incluem msbuild.exe e svchost.exe, o que permite à backdoor operar dentro de contextos de processos aparentemente familiares.
Os pesquisadores descrevem esse caminho de execução como process hollowing combinado com injeção Early Bird APC.
A distinção importa na prática: os defensores devem examinar a ascendência dos processos, o conteúdo da memória e o comportamento da execução, em vez de confiar apenas no nome de um executável.
Plataformas de detecção em endpoints correlacionam essas evidências de processos e conexões para investigar atividades suspeitas.
A Sirius é uma backdoor desenvolvida em Microsoft Visual C++, cuja configuração pode estar em um recurso chamado Caffee_Config ou seguir um marcador SIRIUS_STUB_CONFIG na memória.
A configuração analisada identifica 185.114.206[.]45:4449 como servidor de comando e controle (C2) e usa caminhos de instalação com temas da Microsoft.
Os comportamentos configurados habilitam verificações de mutex, atributos de arquivo oculto, restrições geográficas, entradas Run no registro, tarefas agendadas e atalhos na pasta de Inicialização.
Rotinas adicionais tentam persistência por meio de modificação do perfil padrão, scripts de configuração e pacotes de provisionamento de recuperação, dependendo dos privilégios e da configuração.
Esses mecanismos de instalação também significam que a infecção não deve ser descrita como totalmente sem arquivos: a entrega residente em memória pode coexistir com cargas e artefatos de persistência gravados em disco.
Para as equipes de segurança, a prioridade imediata é correlacionar a execução do PowerShell iniciada por PDF suspeito com processos filhos incomuns e conexões de saída.
Combinar a inspeção de anexos, o monitoramento de endpoints e a visibilidade de rede oferece uma defesa mais forte do que depender exclusivamente de assinaturas de arquivos ou do bloqueio de indicadores de infraestrutura isolados.
Indicadores de comprometimento (IOCs)
Observação: endereços IP (Protocolo de Internet) e domínios são intencionalmente desfigurados (ex.: [.]) para evitar resolução ou hiperlink acidental. A refiguração deve ser feita apenas em plataformas controladas de inteligência de ameaças, como MISP, VirusTotal ou seu SIEM (Security Information and Event Management).
