# DownPaper
> Tipo: **malware** · S0186 · [MITRE ATT&CK](https://attack.mitre.org/software/S0186)
## Descrição
[[s0186-downpaper|DownPaper]] é um Trojan backdoor cujá funcionalidade principal é baixar e executar malware de segundo estágio. Atribuído ao grupo iraniano [[g0059-magic-hound|Magic Hound]] (também conhecido como APT35 e Charming Kitten), o DownPaper é entregue tipicamente por meio de documentos de spear-phishing e age como um primeiro estágio leve que estabelece persistência antes de buscar payloads adicionais do servidor de comando e controle.
O malware realiza extenso reconhecimento do sistema logo após a infecção, consultando o registro do Windows, informações do proprietário e configurações de rede. Utiliza protocolos web padrão para comunicação C2, tornando o tráfego malicioso mais difícil de distinguir do tráfego legítimo. A persistência é garantida por meio de chaves de execução no registro do Windows, garantindo a sobrevivência a reinicializações.
**Plataformas:** Windows
## Técnicas Utilizadas
- [[t1082-system-information-discovery|T1082 - System Information Discovery]]
- [[t1012-query-registry|T1012 - Query Registry]]
- [[t1033-system-owneruser-discovery|T1033 - System Owner/User Discovery]]
- [[t1547-001-registry-run-keys-startup-folder|T1547.001 - Registry Run Keys / Startup Folder]]
- [[t1071-001-web-protocols|T1071.001 - Web Protocols]]
- [[t1059-001-powershell|T1059.001 - PowerShell]]
- [[t1059-003-windows-command-shell|T1059.003 - Windows Command Shell]]
## Grupos que Usam
- [[g0059-magic-hound|Magic Hound]]
## Detecção
- Monitorar criação de chaves de execução no registro (`HKCU\Software\Microsoft\Windows\CurrentVersion\Run`) por processos suspeitos via [[t1547-001-registry-run-keys-startup-folder|T1547.001]]
- Alertar sobre execução de comandos PowerShell e cmd.exe iniciados por processos de email ou navegador
- Inspecionar tráfego HTTP/HTTPS de saída com User-Agents incomuns ou comunicação com domínios de baixa reputação
- Correlacionar execuções de `reg.exe` com subsequente download de arquivos externos (possível indicativo de segundo estágio)
## Relevância LATAM/Brasil
O [[g0059-magic-hound|Magic Hound]] tem histórico de campanhas de espionagem voltadas a governos e indústrias estratégicas no Oriente Médio, mas TTPs idênticas foram aplicadas globalmente. Organizações brasileiras nos setores de governo, energia e telecomúnicações representam alvos potenciais de campanhas iranianas de espionagem. O uso de spear-phishing em língua nativa - tática documentada do grupo - é plenamente adaptável para campanhas contra o Brasil. Equipes de segurança devem monitorar IOCs associados ao Magic Hound e similares (APT35, Charming Kitten) nas plataformas de inteligência de ameaças.
## Referências
- [MITRE ATT&CK - S0186](https://attack.mitre.org/software/S0186)