Rootkits, spyware e keyloggers

Enquanto muitos tipos de malware anunciam sua presença por meio de danos visíveis, uma classe de software malicioso é projetada especificamente para permanecer oculta de usuários, administradores e ferramentas de segurança enquanto realiza silenciosamente os objetivos do invasor. Rootkits, Spyware e registradores de teclas representam a extremidade furtiva do espectro de malware. Sua eficácia depende da persistência sem detecção — eles podem permanecer ativos por meses ou anos, extraindo credenciais e dados discretamente. Compreender suas técnicas de ocultação é essencial para a investigação forense e para selecionar ferramentas de detecção capazes de encontrar aquilo que as verificações padrão não identificam.

Um rootkit modifica o sistema operacional ou o software de baixo nível para ocultar a presença do invasor. O termo vem de Unix “root” (privilégio máximo) + “kit” (conjunto de ferramentas). Os rootkits interceptam funções do sistema operacional para ocultar arquivos, chaves do Registro, processos e conexões de rede das ferramentas padrão de inspeção do sistema. Um processo que executa um rootkit pode não aparecer no Task Manager, suas conexões de rede não serão exibidas pelo netstat e seus arquivos não aparecerão nas listagens de diretórios — porque todas essas ferramentas consultam o sistema operacional pelas mesmas APIs que o rootkit comprometeu. É extremamente difícil detectar rootkits a partir do sistema operacional infectado.

Os rootkits são classificados de acordo com o local em que operam no sistema. Rootkits de modo de usuário (nível de aplicativo) executam no espaço do usuário e interceptam chamadas de API; são os mais fáceis de detectar e remover. Rootkits de modo de kernel operam com privilégios no nível do sistema operacional, modificando estruturas de dados do kernel — são altamente furtivos e exigem um driver ou uma exploração do kernel para serem instalados. O Bootkit (rootkit de MBR) infecta o Registro Mestre de Inicialização ou o Registro de Inicialização do Volume, carregando antes do sistema operacional — fica invisível para o sistema operacional durante a operação. Rootkits de hipervisor (baseados em VM) ficam abaixo do sistema operacional, executando o sistema original como uma máquina virtual — teoricamente, não podem ser detectados de dentro do sistema convidado.

Como os rootkits comprometem os próprios mecanismos de geração de relatórios do sistema operacional, a detecção exige uma análise feita fora do sistema operacional infectado. As técnicas incluem: análise cruzada (comparar diretamente na memória as estruturas de dados do kernel com o que as APIs relatam — discrepâncias revelam itens ocultos), verificação de integridade (comparar os hashes de arquivos críticos do sistema com linhas de base reconhecidamente íntegras de uma fonte confiável), verificação offline (inicializar a partir de um USB limpo e verificar a unidade) e inicialização segura com atestação do TPM (verificar criptograficamente se a cadeia de inicialização não foi modificada). As ferramentas incluem GMER, Malwarebytes Anti-Rootkit e chkrootkit/rkhunter para Linux.

O Spyware monitora secretamente a atividade do usuário e transmite informações ao invasor sem o conhecimento ou consentimento do usuário. Ele pode capturar histórico de navegação, consultas de pesquisa, capturas de tela, uso de aplicativos e dados de localização. Alguns Spyware são comercializados como “software de monitoramento” para controle parental ou monitoramento de funcionários (embora a legalidade varie conforme a jurisdição). Spyware malicioso é usado por criminosos e Estados-nação para extrair silenciosamente dados empresariais confidenciais, informações pessoais e propriedade intelectual. O Spyware costuma vir agrupado com software gratuito (PUPs — programas potencialmente indesejados), dificultando a identificação da origem.

Stalkerware é um Spyware projetado para monitorar secretamente parceiros íntimos, comercializado para abusadores como ferramenta de vigilância de parceiros. Ele captura localização, chamadas, mensagens de texto e mídias sociais. Spyware comercial (como o Pegasus, da NSO Group, o Candiru e o FinFisher) é vendido a governos e órgãos de aplicação da lei — frequentemente tendo como alvo jornalistas, ativistas e dissidentes. O Pegasus explorou vulnerabilidades de zero-click do iPhone para ser instalado sem qualquer interação do usuário. A Coalition Against Stalkerware e pesquisadores de segurança trabalharam para adicionar a detecção de stalkerware aos produtos de AV convencionais. A detecção frequentemente exige análise forense do dispositivo com ferramentas como o Mobile Verification Toolkit (MVT) da Amnesty International.

Um registrador de teclas registra cada tecla pressionada pelo usuário, capturando senhas, mensagens, números de cartão de crédito e quaisquer outros dados digitados. Os registradores de teclas de software operam em diferentes níveis: interceptações no modo de usuário (API SetWindowsHookEx), drivers no modo de kernel (mais furtivos) ou interceptações de captura de formulários, que interceptam os envios de formulários do navegador antes da criptografia. Registradores de teclas de Hardware são dispositivos físicos conectados entre o teclado e o Computer — completamente invisíveis para a detecção baseada em software. Eles armazenam as teclas pressionadas na memória interna para recuperação posterior. As organizações que protegem áreas de alta segurança devem inspecionar regularmente as portas de Hardware em busca de dispositivos não autorizados.

Capturadores de formulários interceptam os dados enviados em formulários do navegador antes que sejam criptografados e enviados pela rede — capturando nomes de usuário, senhas e números de cartão de crédito no ponto de entrada. O Zeus (Zbot), um conhecido Trojan bancário, usava interceptações de captura de formulários injetadas nos processos do navegador. Ao contrário dos farejadores no nível da rede, bloqueados pelo HTTPS, os capturadores de formulários operam no nível do aplicativo, tornando a criptografia irrelevante. Normalmente, eles interceptam funções do navegador como InternetReadFile ou injetam código na memória do processo do navegador. As ferramentas modernas de EDR detectam padrões de injeção de processos e interceptação de APIs do navegador indicativos da atividade de capturadores de formulários.

O Adware exibe anúncios indesejados e pode redirecionar o tráfego do navegador para gerar receita para seus operadores. Embora seja menos destrutivo que outros malwares, o Adware reduz o desempenho do sistema, compromete a privacidade e cria riscos de segurança ao redirecionar para sites maliciosos ou vir agrupado com software mais perigoso. PUPs (programas potencialmente indesejados) são softwares que os usuários talvez não tenham instalado intencionalmente, geralmente agrupados com software gratuito por meio de diálogos de instalação enganosos. Os PUPs ocupam uma área cinzenta — podem não ser estritamente maliciosos, mas consomem recursos, comprometem a privacidade e criam um caminho para infecções mais perigosas.

Depois que o malware é instalado com privilégios suficientes, a extração de credenciais obtém credenciais armazenadas na memória ou no disco para permitir o movimento lateral. O processo LSASS do Windows armazena credenciais na memória para o logon único. Ferramentas como o Mimikatz extraem senhas em texto simples ou hashes NTLM da memória do LSASS. Os defensores combatem isso com o Credential Guard (Windows 10 ou posterior, que usa a Segurança Baseada em Virtualização para isolar o LSASS em um contêiner seguro), a associação ao grupo Protected Users (que impede o armazenamento em cache de credenciais) e regras de EDR que geram alertas quando processos que não são do sistema acessam a memória do LSASS.

Tentar remover um rootkit de um sistema em execução é arriscado — o rootkit se oculta ativamente e pode detectar as tentativas de remoção. A melhor prática para remediar um rootkit é recriar a imagem do sistema a partir de uma base confiável depois de preservar as evidências forenses. Se não for possível recriar totalmente a imagem imediatamente: inicialize o sistema a partir de uma mídia externa confiável (um USB com um scanner off-line), execute ferramentas de detecção de rootkits antes do carregamento do sistema operacional, documente todos os artefatos e planeje recriar a imagem assim que possível. Para bootkits, use o Secure Boot com UEFI para impedir carregadores de inicialização não assinados e considere gravar zeros no MBR antes de reinstalar o sistema operacional.

Teste sua compreensão dos conceitos do CompTIA Security+ (SY0-701) apresentados nesta lição.

Nesta lição, você aprendeu que: rootkits subvertem APIs do sistema operacional para ocultar processos, arquivos e conexões de rede, tornando não confiável a detecção feita de dentro do sistema operacional infectado — o que exige uma varredura off-line ou uma análise de visões cruzadas; spyware e keyloggers exfiltram credenciais e dados silenciosamente, apresentando indicadores comportamentais detectáveis por meio do monitoramento da rede e da inspeção de processos pelo EDR; e ferramentas de extração de credenciais, como o Mimikatz, que têm o LSASS como alvo, são neutralizadas pelo Windows Credential Guard e pelas políticas de grupo do Protected Users. A seguir, exploraremos malware sem arquivos e ataques de uso do ambiente legítimo.