# BADCALL > Tipo: **malware** · S0245 · [MITRE ATT&CK](https://attack.mitre.org/software/S0245) ## Descrição [[badcall|BADCALL]] é uma variante de malware Trojan backdoor utilizada pelo [[g0032-lazarus-group|Lazarus Group]], grupo APT norte-coreano vinculado ao RGB (Reconnaissance General Bureau). O BADCALL funciona como implante de acesso remoto persistente que estabelece canal C2 em redes já comprometidas, possibilitando controle contínuo pelo operador. Foi identificado pelo US-CERT e DHS em relatórios de alerta sobre atividade norte-coreana contra infraestrutura crítica. O BADCALL opera impersonando protocolos legítimos ([[t1001-003-protocol-or-service-impersonation|T1001.003]]) para mascarar o tráfego C2, e usa [[t1573-001-symmetric-cryptography|criptografia simétrica]] para proteger comúnicações. Para persistência e evasão, modifica o registro ([[t1112-modify-registry|T1112]]) e configura o sistema como proxy ([[t1090-proxy|T1090]]). Desabilita o firewall do sistema ([[t1562-004-disable-or-modify-system-firewall|T1562.004]]) para garantir conectividade C2 sem bloqueios. Realiza descoberta de rede ([[t1016-system-network-configuration-discovery|T1016]]) e de sistema ([[t1082-system-information-discovery|T1082]]) para mapear o ambiente comprometido, e pode operar em portas não padrão ([[t1571-non-standard-port|T1571]]) para evasão de monitoramento de rede. O [[g0032-lazarus-group|Lazarus Group]] utilizou o BADCALL em campanhas contra entidades financeiras e de defesa, consistente com os objetivos de espionagem e monetização do regime norte-coreano. O malware foi incluído nos alertas US-CERT sobre operações de cibercrime norte-coreanas denominadas "Hidden Cobra", juntamente com outras ferramentas como [[s0239-bankshot|Bankshot]] e HARDRAIN. **Plataformas:** Windows ## Técnicas Utilizadas - [[t1562-004-disable-or-modify-system-firewall|T1562.004 - Disable or Modify System Firewall]] - [[t1573-001-symmetric-cryptography|T1573.001 - Symmetric Cryptography]] - [[t1001-003-protocol-or-service-impersonation|T1001.003 - Protocol or Service Impersonation]] - [[t1090-proxy|T1090 - Proxy]] - [[t1112-modify-registry|T1112 - Modify Registry]] - [[t1082-system-information-discovery|T1082 - System Information Discovery]] - [[t1571-non-standard-port|T1571 - Non-Standard Port]] - [[t1016-system-network-configuration-discovery|T1016 - System Network Configuration Discovery]] ## Grupos que Usam - [[g0032-lazarus-group|Lazarus Group]] ## Detecção - **Análise de tráfego de rede**: monitorar conexões em portas não padrão (acima de 1024) de processos do sistema que normalmente não fazem conexões de saída; o BADCALL frequentemente usa portas altas incomuns. - **Sysmon Event ID 13** (Registry Value Set): alertar sobre modificações em configurações de firewall do Windows Registry (`HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy`). - **EDR telemetria**: detectar processos que desativam o serviço de firewall (`netsh advfirewall set allprofiles state off`) ou modificam regras de firewall via linha de comando. - **Referência Sigma**: `proc_creation_win_firewall_disable.yml` - desativação do firewall Windows; e `net_connection_win_non_standard_port.yml` para conexões em portas não padrão. ## Relevância LATAM/Brasil O [[g0032-lazarus-group|Lazarus Group]] é considerado uma das maiores ameaças cibernéticas financeiras globais, com histórico de ataques contra bancos via SWIFT em múltiplos países, incluindo o famoso ataque ao Bangladesh Bank em 2016. O Brasil possui um sistema financeiro robusto e conectado ao SWIFT, tornando-o potencial alvo de operações similares às que o Lazarus conduziu na Ásia e na Europa. O BADCALL, como backdoor do Lazarus, representa uma ameaça direta a instituições financeiras brasileiras de grande porte e ao sistema de pagamentos interbancários. ## Referências - [MITRE ATT&CK - S0245](https://attack.mitre.org/software/S0245)