# DarkPulsar
> Tipo: **backdoor** · [MITRE ATT&CK](https://attack.mitre.org/software/)
## Descrição
[[s0673-darkpulsar|DarkPulsar]] é um backdoor de alto nível desenvolvido pela NSA (Agência de Segurança Nacional dos EUA) e vazado públicamente pelo grupo Shadow Brokers em abril de 2017, juntamente com outros exploits e ferramentas como [[eternalblue|EternalBlue]] e [[doublепульsar|DoublePulsar]]. Após o vazamento, o [[s0673-darkpulsar|DarkPulsar]] foi adotado por múltiplos atores de ameaça, incluindo grupos associados a estados-nação e operadores de cibercrime, tornando-se uma ferramenta de espionagem amplamente disponível na comunidade de atacantes.
O [[s0673-darkpulsar|DarkPulsar]] é um implante de persistência implantado em sistemas Windows, operando como serviço do sistema para garantir execução permanente. O malware implementa capacidades avançadas de controle: impersonation de tokens de segurança do Windows para executar ações com privilégios de qualquer usuário, manipulação de contas locais e execução remota de comandos. A Kaspersky descobriu evidências de uso do DarkPulsar em campanhas contra organizações nucleares, telecomúnicações e TI no Oriente Médio e Rússia entre 2017 e 2019.
O vazamento do arsenal da NSA pelo Shadow Brokers representa um dos eventos mais significativos na história da cibersegurança: ferramentas desenvolvidas com investimento de centenas de milhões de dólares tornaram-se públicas e foram rapidamente reutilizadas por grupos sem relação com seus criadores originais. O [[s0673-darkpulsar|DarkPulsar]], junto com o [[eternalblue|EternalBlue]] - que alimentou o [[wannacry|WannaCry]] e o [[s0368-notpetya|NotPetya]] - demonstra o risco catastrófico de armazenamento de exploits ofensivos sem controles adequados.
**Plataformas:** Windows
## Técnicas Utilizadas
- [[t1078-003-local-accounts|T1078.003 - Local Accounts]]
- [[t1543-003-windows-service|T1543.003 - Windows Service]]
- [[t1134-001-token-impersonation-theft|T1134.001 - Token Impersonation/Theft]]
- [[t1098-account-manipulation|T1098 - Account Manipulation]]
- [[t1059-003-windows-command-shell|T1059.003 - Windows Command Shell]]
- [[t1082-system-information-discovery|T1082 - System Information Discovery]]
- [[t1105-ingress-tool-transfer|T1105 - Ingress Tool Transfer]]
## Detecção
- Monitorar criação de novos serviços do Windows por processos não relacionados a instalações legítimas ([[t1543-003-windows-service|T1543.003]])
- Detectar impersonation de token de segurança por processos sem uso legítimo ([[t1134-001-token-impersonation-theft|T1134.001]])
- Alertar sobre modificações em contas locais do sistema ([[t1098-account-manipulation|T1098]])
- Verificar presença de serviços com nomes genéricos ou suspeitos em sistemas críticos
- Implementar regras YARA baseadas nas assinaturas conhecidas do DarkPulsar identificadas pela Kaspersky
## Relevância LATAM/Brasil
O [[s0673-darkpulsar|DarkPulsar]] e as ferramentas vazadas pelo Shadow Brokers foram amplamente adotados por grupos de ransomware e espionagem que atacaram alvos globalmente, incluindo o Brasil. O [[wannacry|WannaCry]] e o [[s0368-notpetya|NotPetya]], que utilizaram exploits do mesmo vazamento, causaram danos significativos a organizações brasileiras em 2017. O DarkPulsar, como backdoor persistente, pode estar presente em sistemas brasileiros que foram comprometidos nos anos seguintes ao vazamento sem que os defensores o tenham detectado e removido. Organizações com sistemas Windows legados especialmente são vulneráveis.
## Referências
- [Kaspersky - DarkPulsar Analysis](https://securelist.com/darkpulsar/88199/)
- [Shadow Brokers Leak - Context](https://www.schneier.com/blog/archives/2017/04/the_shadow_brok.html)