Investigando Persistência de Malware

Quando Usar

• Ao investigar como o malware mantém presença em um sistema comprometido após reinicializações.
• Durante a resposta a incidentes para identificar todos os mecanismos de persistência para remediação completa.
• Para caça a ameaças (threat hunting) para descobrir entradas de inicialização automática não autorizadas em endpoints.
• Ao analisar o comportamento de malware para entender sua estratégia de persistência.
• Para verificar se toda a persistência foi removida após a remediação de um incidente.

Pré-requisitos

• Imagem forense ou acesso ao sistema em tempo real com privilégios administrativos.
• Autoruns (Sysinternals) para enumeração de persistência no Windows.
• RegRipper para análise offline do registro.
• Compreensão dos mecanismos de persistência do Windows e Linux.
• Regras YARA para escanear locais de persistência.
• Linha de base de entradas de inicialização automática conhecidas e boas para comparação.

Fluxo de Trabalho

Passo 1: Enumerar Persistência no Registro do Windows

# Extrair hives do registro da imagem forense
mount -o ro,loop,offset=$((2048*512)) /cases/case-2024-001/images/evidence.dd /mnt/evidence

# Principais locais de persistência no registro
python3 << 'PYEOF'
from Registry import Registry
import json

results = {'registry_persistence': []}

# Análise do hive SYSTEM
system_reg = Registry.Registry("/cases/case-2024-001/registry/SYSTEM")
select = system_reg.open("Select")
current = select.value("Current").value()
cs = f"ControlSet{current:03d}"

# Serviços (persistência muito comum)
services = system_reg.open(f"{cs}\\Services")
for svc in services.subkeys():
    try:
        start_type = svc.value("Start").value()
        image_path = ""
        try:
            image_path = svc.value("ImagePath").value()
        except:
            pass
        # Tipos de inicialização: 0=Boot, 1=System, 2=Auto, 3=Manual, 4=Disabled
        if start_type in (0, 1, 2) and image_path:
            svc_type = svc.value("Type").value() if svc.values() else 0
            results['registry_persistence'].append({
                'location': f'HKLM\\SYSTEM\\{cs}\\Services\\{svc.name()}',
                'type': 'Service',
                'value': image_path,
                'start_type': start_type,
                'timestamp': str(svc.timestamp())
            })
    except Exception:
        pass

# Análise do hive SOFTWARE
sw_reg = Registry.Registry("/cases/case-2024-001/registry/SOFTWARE")

# Chaves de execução da máquina
run_keys = [
    "Microsoft\\Windows\\CurrentVersion\\Run",
    "Microsoft\\Windows\\CurrentVersion\\RunOnce",
    "Microsoft\\Windows\\CurrentVersion\\RunServices",
    "Microsoft\\Windows\\CurrentVersion\\RunServicesOnce",
    "Microsoft\\Windows\\CurrentVersion\\Policies\\Explorer\\Run",
    "Wow6432Node\\Microsoft\\Windows\\CurrentVersion\\Run",
    "Wow6432Node\\Microsoft\\Windows\\CurrentVersion\\RunOnce",
]

for key_path in run_keys:
    try:
        key = sw_reg.open(key_path)
        for value in key.values():
            results['registry_persistence'].append({
                'location': f'HKLM\\SOFTWARE\\{key_path}',
                'type': 'Run Key',
                'name': value.name(),
                'value': str(value.value()),
                'timestamp': str(key.timestamp())
            })
    except Exception:
        pass

# Análise do NTUSER.DAT
import glob
for ntuser in glob.glob("/cases/case-2024-001/registry/NTUSER*.DAT"):
    try:
        user_reg = Registry.Registry(ntuser)
        user_run_keys = [
            "Software\\Microsoft\\Windows\\CurrentVersion\\Run",
            "Software\\Microsoft\\Windows\\CurrentVersion\\RunOnce",
            "Software\\Microsoft\\Windows\\CurrentVersion\\Explorer\\Shell Folders\\Startup",
        ]
        for key_path in user_run_keys:
            try:
                key = user_reg.open(key_path)
                for value in key.values():
                    results['registry_persistence'].append({
                        'location': f'HKCU\\{key_path}',
                        'type': 'User Run Key',
                        'name': value.name(),
                        'value': str(value.value()),
                        'timestamp': str(key.timestamp()),
                        'hive': ntuser
                    })
            except Exception:
                pass
    except Exception:
        pass

print(f"Total de entradas de persistência no registro: {len(results['registry_persistence'])}")
for entry in results['registry_persistence']:
    print(f"  [{entry['type']}] {entry.get('name', '')} -> {entry.get('value', '')[:100]}")


…