differentia.ru

01Sumário executivo

Foi submetida à sandbox ANY.RUN a URL differentia.ru, detonada na plataforma [2] em Windows 10 Professional (build 19044, 64 bits) por 60 segundos, com navegação via Microsoft Edge 133. A plataforma classificou a sessão como atividade maliciosa, com a etiqueta sinkhole [1].

A análise não observou execução de código malicioso na máquina: nenhum processo foi classificado como malicioso ou suspeito, nenhum executável foi gravado em disco e nenhuma chave de registro foi escrita. A totalidade da evidência está na camada de rede. O servidor que responde por differentia.ru devolve a página institucional de sinkhole da Kryptos Logic, e essa resposta dispara quatro pares de assinaturas Suricata e Emerging Threats, das quais um par vem classificado como A Network Trojan was detected e o outro, mais discretamente, como Misc activity.

A sandbox não atribui o domínio a nenhuma família. A pesquisa pública de engenharia reversa, porém, documenta differentia.ru nominalmente como um dos dois servidores de comando e controle do payload Andromeda/Gamarue, ao lado de disorderstatus.ru [7]. A seção 04 reúne essa evidência externa, mantida separada da observação de sandbox, porque é ela que dá direção concreta à caça: um conjunto de domínios a bloquear em vez de um só, uma cadeia de persistência específica a procurar no disco e no registro, e um vetor de propagação, a mídia removível, a conter.

As recomendações deste relatório se organizam em duas frentes. A primeira é a detecção, na seção 07, que parte de logs de DNS e de IDS, porque a detonação não produziu hash de arquivo a bloquear. A segunda é a resposta, na seção 08, que trata o host identificado como comprometido e trabalha para determinar o implante de origem.

02Identificação do objeto analisado

03O que é um sinkhole, e por que ele muda a leitura

Um sinkhole é a tomada de controle de um domínio usado por malware para C2 (Comando e Controle). Pesquisadores, CSIRTs (Computer Security Incident Response Teams) ou autoridades judiciais assumem o registro do domínio e o apontam para servidores próprios. A partir daí:

• as máquinas infectadas continuam a chamar o domínio, mas deixam de receber ordens do operador original;
• quem controla o sinkhole passa a enxergar a população de vítimas pelos endereços de origem que chegam;
• o operador perde a botnet sem que os hospedeiros infectados sejam limpos.

A Kryptos Logic é uma das organizações que mantêm essa infraestrutura em escala, e é a mesma equipe que registrou o kill switch do WannaCry em 2017. Na prática, quando um sinkhole conhecido responde a um host da sua rede, o que se observa é malware residente tentando falar com um C2 que já não existe.

Durante a detonação, a resposta do servidor foi a página padrão do sinkhole da Kryptos Logic, servida sobre HTTP em texto claro na porta 80, sem TLS (Transport Layer Security) [1]. Essa ausência de cifra é o que torna o contato trivialmente detectável por inspeção de tráfego, conforme a seção 7.3.

04Contexto histórico: a infraestrutura Andromeda/Gamarue

A detonação descrita neste relatório enxerga apenas o estado atual do domínio, que é o de um sinkhole inerte. Ela não diz nada sobre o que differentia.ru foi antes de ser apreendido. Essa parte da história está documentada em pesquisa pública de engenharia reversa, e é ela que transforma um alerta isolado de IDS (Intrusion Detection System) em uma hipótese de caça concreta.

4.1Os dois servidores de comando e controle

A análise de engenharia reversa da Avast sobre a carga do Andromeda, também catalogado como Gamarue e Wauchos, estabelece que o implante usou, por um período longo, dois domínios como C2, com as requisições enviadas por método POST [7].

Além desses dois, a mesma análise registra que os plugins baixados pelo implante contêm outros domínios de C2, o que amplia a superfície de caça para além do par principal [7]:

4.2Infraestrutura de hospedagem

O domínio migrou de infraestrutura de DNS ao longo do tempo, com registros A distribuídos entre Rússia e Alemanha [7]:

4.3Persistência e camuflagem

Esta é a parte mais acionável da literatura, porque descreve artefatos que sobrevivem no disco e no registro do host infectado, ao contrário do tráfego de rede, que só existe no momento do beaconing. Segundo a análise [7], o Andromeda:

• copia-se para %ALLUSERSPROFILE% com o nome ms<5 letras aleatórias>.exe, usando o identificador da vítima como semente do gerador;
• marca o arquivo resultante como oculto e de sistema (+h +s);
• copia o carimbo de tempo do msiexec.exe legítimo para o seu próprio arquivo, via GetFileTime e SetFileTime, o que derrota triagem por data de criação;
• apaga o fluxo NTFS :Zone.Identifier, removendo a marca de arquivo baixado da internet;
• grava o caminho desse binário em chave Run e endurece as permissões da chave por security descriptor, para resistir a remoção;
• injeta a carga final em um processo msiexec.exe recém-criado, ativado por ResumeThread, e encerra o processo original. Toda a comunicação com o C2 passa a sair de dentro do msiexec.exe.

4.4Vetor de disseminação

A família é documentada pela Microsoft e pela ESET como propagadora por mídia removível [8] [9]. As variantes com comportamento de worm:

• copiam-se para a raiz de unidades removíveis, como pendrives;
• depositam componentes na unidade e criam um arquivo de atalho que, ao ser aberto, executa esses componentes;
• gravam um autorun.inf na raiz, para execução automática em máquinas com o recurso Autorun habilitado.

A botnet foi objeto de uma operação internacional de desarticulação em novembro e dezembro de 2017, conduzida por autoridades policiais em cooperação com a Microsoft e a ESET, que derrubou os servidores de C2 identificados [9]. Isso é coerente com o estado atual do domínio, hoje sob sinkhole.

Se um host da rede contatou differentia.ru, três coisas mudam no plano de resposta:

Caçar o conjunto inteiro de domínios, não apenas um nome

Um host que consulta disorderstatus.ru ou um dos domínios de plugin, mas nunca differentia.ru, está igualmente comprometido e passará despercebido por uma busca de domínio único.

Procurar o implante dentro de processo legítimo

Não em um executável estranho. O ponto de partida no EDR é msiexec.exe com tráfego de rede sem instalação correspondente, e o artefato em disco descrito em 4.3.

Investigar mídia removível

Como vetor inicial e como caminho de reinfecção. Limpar a estação sem limpar o pendrive que a infectou devolve o problema em poucos dias, e amplia o alcance para os outros usuários do mesmo dispositivo.

05Comportamento observado na detonação

5.1Processos

Dos 168 processos existentes, 21 foram monitorados e nenhum recebeu classificação maliciosa ou suspeita. A árvore observada é a de um navegador em operação normal: um msedge.exe pai gerando renderizadores, utilitários e crashpad handler em integridade LOW, além de dois identity_helper.exe e um slui.exe, o Cliente de Ativação do Windows, invocado por COM a partir de svchost.exe. Trata-se de ruído de fundo do sistema operacional, não do artefato.

As únicas atividades sinalizadas pela plataforma foram de nível informativo: leitura de nome do computador, de variáveis de ambiente e de idiomas suportados, todas por identity_helper.exe. São operações rotineiras do Edge, e não reconhecimento de sistema por parte de um implante.

5.2Rede

Foram registradas 55 requisições HTTP e HTTPS, 58 conexões TCP e UDP, e 52 consultas DNS. A esmagadora maioria é telemetria da Microsoft (settings-win.data.microsoft.com, edge.microsoft.com, config.edge.skype.com), classificada como whitelisted. O que importa é o subconjunto abaixo.

Dois pontos merecem registro. Primeiro, a conexão de msedge.exe (PID 8980) para differentia.ru ocorreu em 35.212.64.89, porta 80, em texto claro, o que a torna trivialmente detectável por inspeção de tráfego. Segundo, a presença de requisições a web.archive.org recuperando CSS e fontes de uma captura de 10 de janeiro de 2023 indica que o domínio hospedava um site funcional àquela época, e que sua conversão em sinkhole é posterior.

5.3Assinaturas de detecção acionadas

Este é o núcleo probatório do relatório. Nove alertas foram gerados, e oito deles formam quatro pares idênticos, disparados pelo PID 8980 a cada resposta do sinkhole.

O terceiro alerta parte de svchost.exe (PID 144) e corresponde a telemetria de relatório de erros da Microsoft. Não guarda relação com o domínio analisado e é ruído esperado no ambiente.

5.4Registro e sistema de arquivos

Foram observados 606 eventos de registro, todos de leitura: zero escritas, zero exclusões, zero modificações. Nenhum mecanismo de persistência foi criado. É a marca de uma cadeia de infecção interrompida, porque sem C2 vivo não há segundo estágio a instalar.

06Arquivos envolvidos

A pergunta "quais arquivos o malware utiliza" tem, neste caso, uma resposta que precisa ser dada com precisão: nenhum arquivo malicioso foi criado ou utilizado. A contagem da sandbox é explícita, com zero executáveis, 20 arquivos classificados como suspeitos e 97 arquivos de texto, todos pertencentes ao perfil do Microsoft Edge.

Todos os artefatos gravados vieram de msedge.exe (PID 7704) sob o perfil do usuário, e nenhum apresentou MD5 ou SHA-256 calculado pela plataforma, sinal de arquivos vazios ou efêmeros. Exemplos representativos:

C:\Users\admin\AppData\Local\Microsoft\Edge\User Data\Default\
 ├── ClientCertificates\LOG.old
 ├── ClientCertificates\LOG.old~RF1e50ec.TMP
 ├── commerce_subscription_db\LOG.old
 ├── discounts_db\LOG.old
 ├── PersistentOriginTrials\LOG.old
 └── EdgePushStorageWithConnectTokenAndKey\LOG.old

Nenhum desses caminhos serve como indicador de comprometimento, pois são produzidos por qualquer sessão do Edge. Estão documentados aqui para que a equipe de resposta não os persiga durante uma triagem.

07Detecção

A ordem abaixo reflete a relação custo e cobertura: o primeiro item captura praticamente todos os casos com o menor esforço.

7.1Logs de DNS, a fonte primária

Consulte os logs do resolvedor recursivo da instituição por differentia.ru em toda a janela de retenção disponível. Cada endereço de origem que aparecer é um host candidato a comprometimento. Havendo Windows DNS Server, habilite o log analítico; em BIND ou Unbound, ative o query logging. Encaminhe tudo ao SIEM (Security Information and Event Management).

index=dns query="*differentia.ru*"
| stats count, min(_time) AS primeiro, max(_time) AS ultimo BY src_ip
| sort - count

DnsEvents
| where Name has "differentia.ru"
| summarize Consultas=count(),
            Primeira=min(TimeGenerated),
            Ultima=max(TimeGenerated)
          by ClientIP, Computer
| order by Consultas desc

7.2Regra Sigma para o conjunto completo

As consultas acima são específicas de plataforma e cobrem um domínio. A regra abaixo expressa a lógica de forma portável e já sobre o conjunto inteiro da campanha, que é a forma correta de caçar esta família, conforme a seção 4.4.

title: Resolucao de dominio de C2 da botnet Andromeda/Gamarue
id: 2c7e4b16-9d05-4f3a-8e61-b0d47a9c2115
status: experimental
description: >
  Detecta consulta DNS ao conjunto de dominios de comando e controle
  atribuidos ao payload Andromeda/Gamarue, incluindo o par principal
  (differentia.ru, disorderstatus.ru) e os dominios extraidos dos plugins.
  Caca pelo conjunto, e nao por um nome: um host cujo implante obteve
  resposta no primeiro dominio pode nunca ter consultado os demais.
references:
  - https://blog.avast.com/andromeda-under-the-microscope
  - https://www.kryptoslogic.com/
author: CiberLab, Ciencia Embarcada
date: 2026/08/31
tags:
  - attack.command-and-control
  - attack.t1071.001
  - attack.t1568
  - attack.t1008
logsource:
  category: dns
detection:
  c2_principal:
    query:
      - 'differentia.ru'
      - 'disorderstatus.ru'
  c2_plugins:
    query:
      - 'atomictrivia.ru'
      - 'designthefuture.ru'
      - 'gvaq70s7he.ru'
      - 'getuptateserv.eu'
  condition: c2_principal or c2_plugins
falsepositives:
  - Estacao de pesquisa de ameacas resolvendo os dominios de proposito
  - Resolvedor compartilhado onde a origem registrada nao identifica o host
level: high

A segunda regra não procura um indicador de rede, e sim o comportamento descrito em 4.3. Ela é a mais valiosa das duas, porque independe do domínio de destino e do hash do implante.

title: msiexec.exe iniciado sem pai de instalacao de software
id: 7a41f0c8-53b2-4d19-9f06-3c8e5b71a2d4
status: experimental
description: >
  O Andromeda injeta a carga final em um msiexec.exe recem-criado, ativado
  por ResumeThread, e encerra o processo original, passando a comunicar com
  o C2 de dentro do processo legitimo. Um msiexec.exe cujo pai nao e um
  instalador nem o gerenciador de servicos merece triagem, sobretudo se
  abrir conexoes externas em seguida.
references:
  - https://blog.avast.com/andromeda-under-the-microscope
author: CiberLab, Ciencia Embarcada
date: 2026/08/31
tags:
  - attack.defense-evasion
  - attack.t1055.012
logsource:
  category: process_creation
  product: windows
detection:
  processo:
    Image|endswith: '\msiexec.exe'
  pai_esperado:
    ParentImage|endswith:
      - '\services.exe'
      - '\svchost.exe'
      - '\explorer.exe'
      - '\msiexec.exe'
      - '\cmd.exe'
      - '\powershell.exe'
  condition: processo and not pai_esperado
falsepositives:
  - Ferramentas de distribuicao de software e de inventario que invocam o
    msiexec a partir de um agente proprio: aliste o agente em pai_esperado
  - Scripts de implantacao executados por agendador de terceiros
level: medium

7.3IDS e IPS

As regras abaixo são complementares, para cobertura específica do domínio, e seguem a sintaxe documentada em [6].

# 1. Consulta DNS ao dominio sinkholed
alert dns $HOME_NET any -> any any (
  msg:"CIBERLAB C2 SINKHOLE Consulta DNS a differentia.ru";
  dns.query; content:"differentia.ru"; nocase; endswith;
  classtype:trojan-activity; priority:1;
  sid:9000001; rev:2;
)

# 2. Requisicao HTTP com Host do dominio sinkholed
alert http $HOME_NET any -> $EXTERNAL_NET any (
  msg:"CIBERLAB C2 SINKHOLE HTTP Host differentia.ru";
  flow:established,to_server;
  http.host; content:"differentia.ru"; nocase; endswith;
  classtype:trojan-activity; priority:1;
  sid:9000002; rev:2;
)

# 3. POST aos endpoints de C2 documentados na literatura [7]
alert http $HOME_NET any -> $EXTERNAL_NET any (
  msg:"CIBERLAB C2 ANDROMEDA POST a endpoint de C2 conhecido";
  flow:established,to_server;
  http.method; content:"POST";
  http.uri; content:"/diff.php"; nocase; endswith;
  classtype:trojan-activity; priority:1;
  sid:9000003; rev:1;
)

7.4Proxy, firewall e NetFlow

• Busque, nos logs de proxy, o cabeçalho Host: differentia.ru e requisições para 35.212.64.89 ou 35.212.43.152.
• Em NetFlow ou IPFIX, procure fluxos de saída para esses endereços na porta 80.
• Trate como sinal adicional qualquer conexão HTTP em texto claro para endereço de nuvem pública partindo de estação de usuário, que já é um padrão anômalo por si só.

7.5Endpoint

Identificado o host, use o EDR para responder à pergunta que a sandbox não pode responder: qual processo originou a consulta. Se a resolução partiu de um navegador com o usuário navegando, provavelmente é benigna. Se partiu de um binário fora de Program Files, de uma tarefa agendada, de um serviço ou de rundll32 e regsvr32, há implante ativo.

DeviceNetworkEvents
| where RemoteUrl has "differentia.ru"
     or RemoteIP in ("35.212.64.89", "35.212.43.152")
| project Timestamp, DeviceName,
          InitiatingProcessFileName,
          InitiatingProcessFolderPath,
          InitiatingProcessCommandLine,
          InitiatingProcessAccountName,
          RemoteIP, RemotePort
| order by Timestamp asc

7.6Caça ao conjunto de domínios correlatos

Antes de caçar, confira em [10] se a infraestrutura desta campanha voltou a aparecer em telemetria recente, porque domínios expirados são reaproveitados. Como o implante fala com mais de um servidor de C2, conforme a seção 4.1, uma busca por differentia.ru isolado subestima o alcance: um host cujo implante conseguiu contato no primeiro domínio da lista pode nunca ter chegado ao segundo. Repita as buscas de 7.1 e 7.4 sobre o conjunto completo, e priorize os hosts que aparecem em mais de um.

index=dns query_regex="(differentia|disorderstatus|atomictrivia|designthefuture|gvaq70s7he)\.ru$|getuptateserv\.eu$"
| stats dc(query) AS dominios_distintos, count, values(query) AS dominios BY src_ip
| sort - dominios_distintos, - count

DeviceNetworkEvents
| where RemoteUrl has_any ("differentia.ru", "disorderstatus.ru",
                           "atomictrivia.ru", "designthefuture.ru",
                           "gvaq70s7he.ru", "getuptateserv.eu")
     or RemoteIP in ("95.213.186.51", "176.9.174.220",
                     "95.213.192.71", "46.4.114.61", "176.9.48.86")
     or InitiatingProcessFileName =~ "msiexec.exe"
| project Timestamp, DeviceName, InitiatingProcessFileName,
          InitiatingProcessCommandLine, InitiatingProcessParentFileName,
          RemoteUrl, RemoteIP
| order by Timestamp asc

08Mitigação e resposta

8.1Contenção imediata

• Bloqueie o conjunto de domínios da seção 4.1, e não apenas differentia.ru, no resolvedor recursivo, no proxy e no firewall de borda, sempre com registro em log. O bloqueio parcial apenas empurra o beaconing para o próximo item do conjunto. O objetivo não é impedir o dano, já que o C2 está morto, mas gerar alerta sempre que um host tentar.
• Isole a estação identificada da rede, preservando-a ligada. Não reinicie, porque memória volátil e conexões ativas são a melhor evidência disponível.
• Preserve evidências antes de qualquer remediação: captura de memória, imagem de disco quando cabível, e exportação dos logs de EDR, proxy e DNS da janela relevante.

8.2Erradicação

• Determine o processo de origem e a cadeia parental completa até a execução inicial. Dê atenção especial ao msiexec.exe, porque o Andromeda injeta a carga final em um processo desses recém-criado e encerra o original, conforme a seção 4.3.
• Enumere mecanismos de persistência: chaves Run e RunOnce, tarefas agendadas, serviços, pastas de inicialização e assinaturas WMI (Windows Management Instrumentation).
• Colete os binários suspeitos e submeta-os a análise própria, pois um sinkhole indica infecção antiga e o implante pode ter sido atualizado para outro C2 ainda vivo.
• Havendo confirmação de comprometimento, reinstale o sistema a partir de imagem confiável. Remoção pontual não oferece garantia de erradicação.
• Rotacione as credenciais usadas na máquina: conta local, conta de domínio, chaves SSH, tokens de aplicação e sessões de navegador. Se houve implante, assuma que houve coleta.

8.3Avaliação de alcance

Um host que fala com um C2 sinkholed raramente está sozinho. Antes de encerrar o incidente, verifique nos logs de DNS se outras estações consultaram o mesmo domínio, se o host acessou compartilhamentos de rede ou usou credenciais privilegiadas, e se o vetor inicial atingiu outros usuários. Dado o histórico de propagação por mídia removível desta família, conforme a seção 4.4, inclua na varredura os pendrives usados na estação e as demais máquinas onde eles foram montados. Limpar o host sem limpar o dispositivo produz reinfecção.

8.4Prevenção estrutural

8.5Mapeamento MITRE ATT&CK

09Indicadores de comprometimento

10Limitações da análise

• A detonação durou 60 segundos. Comportamento com atraso maior não seria observado.
• Foi analisada uma URL, não um binário. O relatório descreve o destino do comando e controle, não o implante que o consulta.
• Sendo o domínio um sinkhole, o comportamento original do malware é inobservável, pois o payload de segundo estágio não existe mais.
• Não há regra YARA neste relatório. As fontes descrevem o implante por caminho, atributo de arquivo e comportamento de injeção, mas não publicam cadeias de texto ou estruturas do binário que sustentassem uma regra de conteúdo. Escrever uma a partir apenas do padrão de nome ms?????.exe produziria falso positivo em qualquer executável de nome semelhante, então a detecção em disco fica na varredura por caminho e atributo da seção 7.6.
• As regras Sigma e Suricata das seções 7.2 e 7.3 são derivadas, não validadas. Foram escritas a partir dos indicadores observados e da literatura, sem teste contra tráfego de produção. A regra de msiexec.exe, em particular, depende inteiramente do inventário de ferramentas de distribuição de software de cada ambiente para não gerar ruído.
• O relatório consultado exibe listas paginadas. As tabelas de rede e de arquivos deste documento refletem as entradas visíveis na captura, e não o conjunto integral da sessão.
• Não houve atribuição a família de malware pela plataforma. A atribuição à Andromeda/Gamarue apresentada na seção 04 é externa à análise, baseada em publicações de terceiros que este documento não reproduziu experimentalmente.
• A lista de domínios de C2 dos plugins é apresentada pela fonte de forma parcial. Deve ser lida como um piso, não como o conjunto completo da campanha.
• Os domínios correlatos não foram detonados. Seu estado atual, sinkholed, expirado ou reativado, não foi verificado.
• Os endereços IP da seção 4.2 são históricos. Endereços são reatribuídos, e hoje podem hospedar serviço não relacionado, o que torna o bloqueio prospectivo inadequado.
• A cadeia de persistência da seção 4.3 descreve as variantes analisadas na fonte. O Andromeda foi vendido como crimekit e teve muitas variantes, portanto os nomes e caminhos exatos podem divergir no implante local.
• A ANY.RUN é um serviço interativo, e parte do conteúdo pode refletir ações do analista durante a sessão.