A equipa de investigação de ameaças da Proofpoint identificou e analisou o Cruciferra, um serviço de crypter utilizado por vários grupos de cibercriminosos para ocultar malware, contornar os mecanismos de segurança e aumentar a eficácia das campanhas de infeção. Segundo a empresa, esta solução tornou-se uma das ferramentas mais sofisticadas do atual ecossistema de malware como serviço (MaaS).
A análise indica que o Cruciferra é utilizado para distribuir diversas famílias de malware amplamente conhecidas, incluindo AsyncRAT, Remcos, XWorm, Agent Tesla, Formbook e zgRAT. A utilização deste serviço permite aos atacantes reutilizar capacidades avançadas sem necessidade de as desenvolver internamente, reduzindo a barreira de entrada para campanhas cada vez mais complexas.
Conhecido nos meios clandestinos como "o crypter mais letal do mundo clandestino", o Cruciferra suporta mais de 90 variantes de algoritmos criptográficos personalizados. Estes algoritmos resultam de combinações dinâmicas de componentes provenientes de diferentes sistemas de cifra, permitindo ocultar dados e cargas maliciosas e dificultando a análise estática e a eficácia das soluções de segurança baseadas em assinaturas.
Neste contexto, a Proofpoint explicou que "O Cruciferra destaca-se pelas suas amplas capacidades de evasão dos sistemas de defesa, pelo design modular e por uma abordagem altamente personalizada e diversificada à proteção da carga."
A investigação demonstra que o serviço incorpora um vasto conjunto de técnicas concebidas para dificultar a deteção, a análise e a resposta a incidentes. Entre estas encontram-se chamadas indiretas ao sistema, remoção de hooks das API, manipulação de soluções EDR, mecanismos de escalada de privilégios e persistência, bem como métodos de execução de cargas maliciosas que reduzem os vestígios forenses.
Segundo a análise, as campanhas observadas distribuem malware através do correio eletrónico junto de organizações dos setores financeiro, da saúde e da administração pública. As mensagens incluem ficheiros comprimidos que contêm um executável legítimo e uma biblioteca DLL maliciosa.
Depois de executado o ficheiro, o Cruciferra recorre à técnica de DLL side-loading para ser carregado no sistema. Em seguida, verifica se o equipamento corresponde a um ambiente de análise ou a uma máquina virtual utilizada por investigadores de segurança. Caso não detete estes ambientes, descarrega ou executa a carga maliciosa final.
Durante a investigação, a Proofpoint identificou igualmente versões de produção e variantes aparentemente destinadas a testes, incluindo amostras com funcionalidades experimentais. Este facto demonstra que o Cruciferra continua a evoluir para acompanhar as melhorias introduzidas pelas soluções de segurança e preservar a sua capacidade de evasão.
A empresa considera que a combinação de técnicas avançadas de evasão, proteção criptográfica personalizada e evolução contínua faz do Cruciferra um elemento relevante no atual ecossistema de malware como serviço. A Proofpoint recomenda ainda a monitorização de comportamentos anómalos e a conjugação de tecnologias de proteção com inteligência de ameaças para identificar novas variantes antes da sua disseminação em larga escala.
