Análise de Engenharia Reversa do Vidar Stealer 2.0

Visão Geral

Esta análise cobre uma engenharia reversa aprofundada do Vidar Stealer 2.0, um sofisticado roubador de informações que usa técnicas avançadas de evasão para permanecer indetectado. As principais descobertas incluem:

• Adulteração do Agendador de Tarefas: Modifica os carimbos de data/hora das tarefas do sistema para 1999 para evadir a análise forense.
• Process Hollowing no Explorer.exe: Injeta shellcode no processo legítimo do Windows Explorer.
• Injeção no Microsoft Copilot: Visa o novo processo do Microsoft Copilot para execução furtiva.
• Persistência: Mantém presença através de tarefas agendadas e sequestro de processos do sistema.

1. Adulteração do Agendador de Tarefas (Carimbos de 1999)

Um dos comportamentos mais incomuns e sofisticados observados no Vidar Stealer 2.0 é sua interação com o Agendador de Tarefas do Windows. O malware não cria simplesmente uma nova tarefa para persistência — ele adultera ativamente os carimbos de data/hora das tarefas existentes do sistema, definindo-os para o ano 1990.

Por que isso é significativo?

• Técnica Antiforense: Alterar os carimbos para uma data antiga (como 1990) interrompe a análise forense e a revisão de logs, dificultando a determinação de quando o malware apareceu pela primeira vez.
• Evasão: Ao alterar os carimbos de tarefas legítimas do sistema, o Vidar se mistura, tornando sua própria tarefa agendada menos suspeita.
• Persistência: Uma vez que sua própria tarefa é criada, o Vidar pode reverter o carimbo para a data atual para evitar mais suspeitas, mantendo uma posição no sistema.

Observações Principais:

• Tarefas do sistema como OneDrive tiveram seus carimbos alterados para 6.04.2026, mas alguns foram revertidos.
• Uma tarefa personalizada criada pelo Vidar foi definida para 30.11.1999 00:00:00 (um clássico carimbo antiforense).
• Mesmo após a remoção, algumas alterações de carimbo permaneceram, indicando manipulação profunda em nível de sistema.

2. Explorer.exe – Process Hollowing e Injeção de Shellcode

Uma das técnicas de evasão mais críticas usadas pelo Vidar Stealer 2.0 é o Process Hollowing no Explorer.exe. Esta técnica permite que o malware execute seu código malicioso dentro de um processo legítimo do Windows, tornando a detecção significativamente mais difícil.

Como Funciona:

• Processo Alvo: O Vidar tem como alvo o Explorer.exe, um processo confiável do sistema.
• Hollowing: O malware cria uma instância suspensa do Explorer e substitui sua memória por shellcode malicioso.
• Execução: O shellcode é então executado no contexto do Explorer, contornando muitos controles de segurança.

Análise com WinDbg:

Usando o WinDbg, podemos observar o shellcode injetado dentro do processo Explorer. As regiões de memória mostram permissões típicas de PAGE_EXECUTE_READWRITE, que são incomuns para a memória legítima do Explorer.

Observações Principais:

• Regiões de Memória: Seções suspeitas de PAGE_EXECUTE_READWRITE foram encontradas no espaço de endereço do Explorer.
• Padrões de Shellcode: O código injetado contém estruturas típicas de payload, incluindo hashing de API e rotinas anti-debug.
• Persistência: O shellcode garante que o Vidar permaneça ativo mesmo após reinicializações do sistema.

O que a Imagem Mostra:

A imagem abaixo é um dump direto do WinDbg do shellcode encontrado dentro da região PAGE_EXECUTE_READWRITE do Explorer.exe. A desmontagem revela características típicas de shellcode: instruções de prólogo (push, mov), padrões de chamadas de API (call, jmp) e blocos de dados ofuscados.

3. Microsoft Copilot – Um Novo Alvo para Injeção de Processo

Uma das descobertas mais notáveis nesta análise é a injeção do shellcode do Vidar no processo do Microsoft Copilot. Este é um alvo relativamente novo e altamente interessante, pois o Copilot é um assistente baseado em IA integrado aos sistemas Windows modernos.

Como Funciona:

• Processo Alvo: O Vidar tem como alvo o Copilot.exe, um novo processo confiável do Windows.
• Método de Injeção: O malware usa técnicas similares de injeção de processo (provavelmente injeção APC ou sequestro de thread) para executar seu shellcode dentro do Copilot.
• Furtividade: Como o Copilot é um processo legítimo, o shellcode pode ser executado sem ser detectado por muitas soluções de segurança tradicionais.

Análise com WinDbg – Payload Ofuscado

A análise inicial do código injetado revelou um payload ofuscado, com instruções como jg, add e xchg aparecendo fora de contexto. Esta é uma clara indicação de ofuscação de código, usada para evadir a análise estática.

Análise com WinDbg – Chamadas de API e Ofuscação

A imagem abaixo mostra uma mistura de chamadas de API claras e código ofuscado. As funções resolvidas incluem:

• LoadLibraryExW – Usada para carregar DLLs adicionais.
• LoadLibraryW – Carregamento padrão de DLL.
• LocalFree – Gerenciamento de memória.
• MultiByteToWideChar – Conversão de string (comumente usada em malware para exfiltração de dados).

As seções não resolvidas (???, jg add, etc.) indicam áreas onde o WinDbg não conseguiu decodificar totalmente o código ofuscado, destacando a complexidade das técnicas de evasão do Vidar.

Conclusão

O Vidar Stealer 2.0 é um exemplo primordial de como os roubadores de informações modernos evoluíram para se tornar altamente sofisticados e resilientes. Esta análise descobriu várias técnicas avançadas que o diferenciam de malwares típicos:

• Adulteração do Agendador de Tarefas (Carimbos de 1990): Uma técnica antiforense inteligente que interrompe a análise de logs e oculta mecanismos de persistência.
• Process Hollowing no Explorer.exe: Demonstra a capacidade do Vidar de executar código malicioso dentro de um processo confiável do sistema, contornando muitos controles de segurança.
• Injeção no Microsoft Copilot: Visa uma superfície de ataque nova e emergente, mostrando como os atores de ameaças estão se adaptando a novos recursos do Windows.
• Chamadas de API Ofuscadas: O uso de ofuscação e resolução dinâmica de API torna a análise estática desafiadora e destaca as capacidades de evasão do malware.

Principais Conclusões

• Persistência: O Vidar mantém persistência através de tarefas agendadas e injeção em processos do sistema.
• Evasão: Carimbos antiforenses, ofuscação e injeção em processos confiáveis dificultam a detecção.
• Roubo de Dados: O uso de LoadLibrary e MultiByteToWideChar confirma sua capacidade de carregar módulos adicionais e exfiltrar dados.

Download da Amostra

A amostra analisada está disponível no MalwareBazaar para aqueles que desejam realizar sua própria análise:

🔗 Vidar Stealer 2.0 Sample on MalwareBazaar

Considerações Finais

O Vidar Stealer 2.0 representa uma nova geração de roubadores de informações que não estão focados apenas no roubo de dados, mas também em permanecer indetectados. Sua capacidade de adulterar tarefas do sistema, injetar em processos confiáveis e mirar novos recursos do Windows como o Copilot demonstra um profundo entendimento dos controles de segurança modernos.

Compreender essas técnicas é crucial para que os defensores criem melhores regras de detecção e medidas de segurança contra ameaças em evolução.