# Pandora
> Tipo: **malware** · S0664 · [MITRE ATT&CK](https://attack.mitre.org/software/S0664)
## Descrição
[[s0664-pandora|Pandora]] é um rootkit de kernel multiestágio com funcionalidade de backdoor utilizado pelo [[g0027-threat-group-3390|Threat Group-3390]] (APT27/Emissary Panda) desde pelo menos 2020, e também pelo [[g1021-cinnamon-tempest|Cinnamon Tempest]]. Como rootkit de nível de kernel, o Pandora opera com os mais altos privilégios possíveis no sistema, tornando-se extremamente difícil de detectar e remover.
O malware utiliza traffic signaling - esperando por pacotes de rede com características específicas ("knock") antes de ativar suas funcionalidades backdoor - o que o torna inativo e invisível à maioria das ferramentas de análise até que o operador envie o sinal correto. Modifica as políticas de assinatura de código do Windows para permitir a execução de drivers sem assinatura e injeta código em processos do sistema. A comunicação C2 é cifrada com criptografia simétrica e o tráfego comprimido para minimizar a pegada de rede.
Esta combinação de rootkit de kernel + traffic signaling representa uma das capacidades de persistência furtiva mais avançadas documentadas no arsenal de grupos APT chineses.
**Plataformas:** Windows
## Técnicas Utilizadas
- [[t1105-ingress-tool-transfer|T1105 - Ingress Tool Transfer]]
- [[t1574-001-dll|T1574.001 - DLL]]
- [[t1573-001-symmetric-cryptography|T1573.001 - Symmetric Cryptography]]
- [[t1068-exploitation-for-privilege-escalation|T1068 - Exploitation for Privilege Escalation]]
- [[t1543-003-windows-service|T1543.003 - Windows Service]]
- [[t1071-001-web-protocols|T1071.001 - Web Protocols]]
- [[t1057-process-discovery|T1057 - Process Discovery]]
- [[t1205-traffic-signaling|T1205 - Traffic Signaling]]
- [[t1027-015-compression|T1027.015 - Compression]]
- [[t1569-002-service-execution|T1569.002 - Service Execution]]
- [[t1553-006-code-signing-policy-modification|T1553.006 - Code Signing Policy Modification]]
- [[t1055-process-injection|T1055 - Process Injection]]
- [[t1112-modify-registry|T1112 - Modify Registry]]
## Grupos que Usam
- [[g1021-cinnamon-tempest|Cinnamon Tempest]]
- [[g0027-threat-group-3390|Threat Group-3390]]
## Detecção
- Monitorar modificações nas políticas de assinatura de código do Windows ([[t1553-006-code-signing-policy-modification|T1553.006]])
- Detectar carregamento de drivers não-assinados no kernel ([[t1574-001-dll|T1574.001]])
- Implementar análise de tráfego de rede em busca de padrões de "knocking" ([[t1205-traffic-signaling|T1205]])
- Usar ferramentas de análise de integridade de kernel (ex: Microsoft Defender for Endpoint) para detectar rootkits
## Relevância LATAM/Brasil
O [[g0027-threat-group-3390|Threat Group-3390]] opera com objetivos de espionagem de longo prazo, especialmente contra setores de energia, governo e defesa - todos estratégicamente relevantes no Brasil. A capacidade de rootkit de kernel do Pandora o torna uma ameaça de persistência extrema que pode sobreviver a reinstalações de sistema operacional se o bootloader for comprometido. Organizações brasileiras críticas devem implementar Secure Boot e integridade de firmware como defesas fundamentais.
## Referências
- [MITRE ATT&CK - S0664](https://attack.mitre.org/software/S0664)