Uma campanha ClickFix usa o Lorem Ipsum Loader para instalar um implante de tunelamento baseado em Python, oferecendo aos atacantes uma rota discreta para as redes das vítimas e potencialmente preparando o terreno para a implantação de ransomware.
Em um incidente investigado no fim de setembro, as equipes de defesa conseguiram conter a invasão antes que o ransomware fosse implantado. Ainda assim, a capacidade de acesso remoto do túnel fez do equipamento comprometido um possível ponto de apoio para atividades adicionais.
Na variante TerminalFix, relacionada à campanha, as vítimas são instruídas a abrir o Windows Terminal ou o PowerShell e colar um comando.
O comando inicia uma cadeia de infecção em múltiplas etapas, em vez de concluir a suposta verificação.
Na cadeia observada, um arquivo ZIP contém um executável legítimo, uma DLL maliciosa (biblioteca de vínculo dinâmico) e um arquivo em lote.
O executável carrega a DLL por meio de sideloading, permitindo que o código malicioso seja executado no contexto de um programa com aparência confiável.
O arquivo em lote estabelece persistência usando uma chave Run no nível do usuário e uma tarefa agendada, antes de iniciar o executável.
A DLL carrega uma carga útil oculta em uma seção adicional chamada .cpoc. Pesquisadores encontraram um recurso que contém um dicionário de palavras aleatórias de cinco letras: o carregador usa as posições dessas palavras para reconstruir o shellcode e, em seguida, decodifica a carga útil.
A etapa final também remove os hooks da ntdll a partir de uma cópia limpa armazenada em disco e usa técnicas de injeção de processos que podem dificultar a análise e a detecção.
Investigadores também identificaram uma rota de distribuição separada, que usa um instalador MSI do Microsoft Teams trojanizado e scripts PowerShell em etapas.
O primeiro script decodifica e descompacta uma segunda etapa, que aloca memória executável e executa a carga útil.
Somados aos métodos de distribuição já relatados via Node.js e PowerShell independente, os achados mostram que o carregador pode ser distribuído por múltiplas cadeias de execução.
Após contatar um resolvedor dead-drop hospedado em um fórum público, o carregador obtém os domínios de comando e controle (C2) e registra o equipamento infectado.
Implantação do malware Lorem Ipsum
Os pesquisadores observaram o carregador enviando requisições HTTP (Protocolo de Transferência de Hipertexto) com um agente de usuário semelhante ao de um navegador e tráfego formatado em JPEG (Grupo Conjunto de Especialistas em Fotografia). Em seguida, ele recupera o client.py, um cliente de tunelamento em Python.
Pesquisadores da Forescout afirmaram que as iscas do ClickFix levam os usuários a executar comandos por conta própria, geralmente apresentando um falso aviso de verificação ou atualização.
O AxolotlLoader é um carregador EXE (executável) independente. Ele criptografa uma etapa de shellcode usando a imagem PNG (Portable Network Graphics) incorporada ao próprio binário como chave XOR de uso único (one-time pad).
O cliente se conecta ao seu servidor C2 por meio de TLS (Segurança da Camada de Transporte) e migra a conexão para WebSocket. Usando um protocolo personalizado, ele pode retransmitir tráfego TCP (Protocolo de Controle de Transmissão) arbitrário pela máquina da vítima, com tipos de mensagem para abrir conexões, transferir dados, manter fluxos ativos e encerrar o implante.
Essa capacidade pode transformar um endpoint infectado em um ponto de pivô na rede, permitindo que um operador alcance sistemas que, de fora, seriam inacessíveis.
Os investigadores avaliaram que a implantação de ransomware era um objetivo provável, mas a infecção observada foi contida antes da criptografia.
A Sophos também relatou atividades do TerminalFix envolvendo o Lorem Ipsum e um túnel Python, observando que não identificou criptografia na atividade que analisou.
Os pesquisadores compararam cinco amostras do Lorem Ipsum do incidente com 39 amostras do Axolotl Loader, que haviam sido rastreadas anteriormente como uma família separada.
Os carregadores compartilham semelhanças funcionais, infraestrutura sobreposta e algumas características de C2, mas diferem em código e implementação.
As amostras do Axolotl usam uma técnica XOR baseada em PNG e informações de C2 embutidas no código. As amostras analisadas do Lorem Ipsum usam codificação baseada em palavras, um resolvedor dead-drop e WinHTTP.
A análise identificou três variantes do Axolotl, distinguidas pelos programas hospedeiros e pelo fluxo de execução.
Os pesquisadores afirmaram não ter conseguido estabelecer de forma conclusiva que o Lorem Ipsum seja uma iteração posterior do Axolotl, embora as semelhanças e os cronogramas relatados tornem essa possibilidade plausível.
As organizações devem treinar os usuários para não colar comandos no Terminal ou no PowerShell em resposta a solicitações exibidas em páginas da web.
As equipes de segurança devem monitorar sideloading suspeito de DLL, PowerShell iniciado por MSI, execução do Node.js e atividade de PowerShell independente, além de valores inesperados em chaves Run e tarefas agendadas.
Busque atividades relevantes de processos e de rede, incluindo conexões com indicadores da campanha, usando feeds atuais de inteligência de ameaças. Os indicadores podem mudar conforme os operadores trocam de infraestrutura.
A análise da Microsoft sobre o TerminalFix também recomenda restringir ferramentas de script onde for viável, ativar o registro de blocos de script do PowerShell e investigar os sistemas afetados como possíveis pontos de pivô na rede.
Indicadores de comprometimento (IOCs)
Observação: endereços IP e domínios estão intencionalmente neutralizados (defanged), com notações como [.], para evitar resolução ou links acidentais. A reversão dessa neutralização deve ser feita apenas em plataformas controladas de inteligência de ameaças, como MISP, VirusTotal ou seu SIEM (gerenciamento de informações e eventos de segurança).
