De um único clique a dois meses de intrusão: como o Lunar Spider comprometeu uma rede corporativa
Relatório da The DFIR Report detalha uma intrusão de quase 60 dias iniciada por um arquivo JavaScript ofuscado disfarçado de formulário fiscal W-9, que instalou Brute Ratel C4 e evoluiu para uso de Latrodectus, Cobalt Strike, um backdoor .NET customizado e tentativa de exploração do Zerologon (CVE-2020-1472), culminando em reconhecimento extenso de Active Directory e exfiltração de dados via Rclone para um servidor FTP.
A cadeia de infecção começou com engenharia social clássica: um arquivo JavaScript fortemente ofuscado, disfarçado de formulário fiscal W-9, foi executado pela vítima e baixou um pacote MSI contendo o framework de pós-exploração Brute Ratel C4, carregado via rundll32 — uma técnica de living-off-the-land que dificulta a detecção baseada apenas em assinatura de binário malicioso.
Ao longo da intrusão, o operador combinou múltiplas famílias de ferramentas com papéis distintos: Latrodectus como downloader/stealer injetado no processo explorer.exe, Cobalt Strike para múltiplos beacons de movimentação lateral, um módulo BackConnect baseado em VNC para acesso remoto direto, e um backdoor .NET customizado (lsassa.exe) persistido via tarefa agendada e configurado para fazer polling do C2 a cada 250 segundos — uma cadência baixa que reduz o volume de tráfego de rede gerado e dificulta a detecção por análise de padrão de beacon.
Um achado particularmente relevante para a forense foi a descoberta, no terceiro dia, de um arquivo unattend.xml contendo credenciais de administrador de domínio em texto plano — um erro operacional comum de implantações automatizadas do Windows que, uma vez explorado, acelerou drasticamente a movimentação lateral do atacante via PsExec e RDP para controlador de domínio, servidores de arquivo e de backup, incluindo uma tentativa de exploração do Zerologon (CVE-2020-1472) contra um controlador de domínio secundário.
A exfiltração só ocorreu no vigésimo dia, usando Rclone para sincronizar dados sensíveis para um servidor FTP ao longo de mais de nove horas, com exclusão deliberada de certas extensões de arquivo — sinal de que o operador tentou reduzir o volume transferido e evitar detecção por DLP baseada em tipo de arquivo. O ator permaneceu no ambiente por aproximadamente 60 dias antes de ser expulso, o que evidencia como reconhecimento extenso de Active Directory (via AdFind e varreduras com rustscan) pode ficar sob o radar por semanas quando não há detecção específica para essas ferramentas.
Para equipes de resposta a incidentes, o relatório mapeia mais de dez técnicas MITRE ATT&CK específicas (T1189, T1055, T1547.001, T1053.005, T1078.002, T1087.002, T1482, T1048.003, T1021.001, T1021.002) associadas a artefatos concretos (hashes, domínios de C2, IP de exfiltração), o que permite priorizar detecções para os pontos de maior alavancagem da cadeia — em especial a busca por arquivos unattend.xml expostos e o monitoramento de rundll32 carregando pacotes MSI incomuns.