# CHOPSTICK
> [!info] Identidade do Malware
> **Tipo:** backdoor modular · **MITRE:** [S0023](https://attack.mitre.org/software/S0023) · **Grupo:** [[g0007-apt28|APT28]] (Fancy Bear / GRU)
> **Plataformas:** Windows, Linux · **Ativo desde:** 2012 · **Fase:** segunda fase (implante persistente)
> **Aliases:** X-Agent, SPLM, Xagent, Backdoor.SofacyX, webhp
## Visão Geral
[[chopstick|CHOPSTICK]] é o implante de segunda fase central do [[g0007-apt28|APT28]], o grupo de espionagem atribuído ao GRU (inteligência militar russa). Ativo desde pelo menos 2012, o malware foi empregado nas campanhas mais consequentes do APT28, incluindo a intrusão no Comitê Nacional Democrático (DNC) dos EUA em 2016, operações contra a OTAN e múltiplos governos europeus. Sua arquitetura modular permite atualizações de capacidades sem substituição do implante, tornando-o um dos backdoors de espionagem mais longevos em operação contínua.
O CHOPSTICK é rastreado separadamente do [[x-agent-for-android|X-Agent for Android]], embora compartilhe a mesma base de desenvolvimento. A variante Linux demonstra que o [[g0007-apt28|APT28]] opera em ambientes heterogêneos com o mesmo nível de sofisticação. O malware armazena sua configuração criptografada com RC4 no registro do Windows ([[t1027-011-fileless-storage|T1027.011]]), tornando-o invisível para scanners de arquivos convencionais.
## Como Funciona
O CHOPSTICK é tipicamente entregue como malware de segunda fase após comprometimento inicial via [[t1566-phishing|phishing]] ou exploit de browser. Ao ser instalado, o malware:
1. **Persistência fileless** - armazena configuração criptografada (RC4) em chaves de registro ([[t1112-modify-registry|T1112]]), sem arquivos em disco que possam ser detectados por AV
2. **Reconhecimento de ambiente** - verifica produtos de segurança instalados ([[t1518-001-security-software-discovery|T1518.001]]) e detecta ambientes de sandbox/VM ([[t1497-virtualizationsandbox-evasion|T1497]]) antes de prosseguir
3. **Comúnicação C2 multi-canal** - suporta HTTP/HTTPS ([[t1071-001-web-protocols|T1071.001]]), SMTP/IMAP ([[t1071-003-mail-protocols|T1071.003]]) e canais de fallback ([[t1008-fallback-channels|T1008]]) para resiliência
4. **Air-gap bridging** - em redes isoladas, propaga-se via USB ([[t1091-replication-through-removable-media|T1091]]) e usa mídia removível para exfiltrar dados ([[t1092-communication-through-removable-media|T1092]])
5. **Coleta de inteligência** - executa keylogging ([[t1056-001-keylogging|T1056.001]]), captura de tela ([[t1113-screen-capture|T1113]]) e listagem de arquivos ([[t1083-file-and-directory-discovery|T1083]])
A técnica de air-gap via USB é especialmente notável: o CHOPSTICK monitora dispositivos removíveis, replica-se neles e usa arquivos ocultos no USB para troca de comandos e dados com o C2 - permitindo operar em redes completamente desconectadas da internet.
## Attack Flow
```mermaid
graph TB
A["Entrega via spearphishing<br/>Documento Office malicioso<br/>APT28 - alvo estratégico"] --> B["Implante de 1a fase<br/>SOFACY / GAMEFISH<br/>Estabelece foothold inicial"]
B --> C["Download CHOPSTICK<br/>Implante de 2a fase<br/>Armazenado fileless no registro"]
C --> D["Anti-sandbox check<br/>Verificação de VM T1497<br/>Security software T1518.001"]
D --> E["Persistência RC4 registry<br/>Configuração criptografada<br/>Sem arquivos em disco T1027.011"]
E --> F["Multi-channel C2<br/>HTTP/HTTPS + SMTP/IMAP<br/>Fallback channels T1008"]
F --> G["Coleta de inteligencia<br/>Keylog T1056.001<br/>Screenshot T1113"]
G --> H["Air-gap USB bridging<br/>Replicas em USB T1091<br/>Exfiltração via midia T1092"]
classDef delivery fill:#e74c3c,color:#fff
classDef install fill:#e67e22,color:#fff
classDef evasion fill:#27ae60,color:#fff
classDef persist fill:#3498db,color:#fff
classDef c2 fill:#9b59b6,color:#fff
classDef collect fill:#1abc9c,color:#fff
classDef airgap fill:#2c3e50,color:#fff
class A delivery
class B,C install
class D,E evasion
class F,G persist
class G collect
class H airgap
```
**Legenda:** [[g0007-apt28|APT28]] - [[t1497-virtualizationsandbox-evasion|T1497]] - [[t1027-011-fileless-storage|T1027.011]] - [[t1092-communication-through-removable-media|T1092]]
## Timeline de Campanhas
```mermaid
timeline
title CHOPSTICK - Historico de Operacoes APT28
2012 : Primeiras amostras identificadas
: Alvos governamentais europeus
2014 : Operação Pawn Storm
: Spearphishing diplomatico
2015 : Bundestag alemao comprometido
: 16 GB de dados exfiltrados
2016 : Intrusão no DNC dos EUA
: Eleicoes presidenciais
: Atribuicao publica pela CrowdStrike
2017 : Campanhas contra OTAN e UE
: Variantes Linux identificadas
2018 : Continuacao de operacoes
: Alvos militares OTAN
2020 : Operacoes contra setores COVID
: Pesquisadores de vacinas
2022 : Reativacao pos-invasao Ucrania
: Alvos governamentais europeus
```
## Técnicas Utilizadas (MITRE ATT&CK)
| Técnica | ID | Descrição |
|---------|-----|-----------|
| Fallback Channels | [[t1008-fallback-channels\|T1008]] | C2 secundario quando canal primario bloqueado |
| Removable Media Comms | [[t1092-communication-through-removable-media\|T1092]] | Air-gap via USB em redes isoladas |
| Internal Proxy | [[t1090-001-internal-proxy\|T1090.001]] | Proxy em hosts comprometidos |
| Mail Protocols | [[t1071-003-mail-protocols\|T1071.003]] | C2 via SMTP/IMAP |
| Fileless Storage | [[t1027-011-fileless-storage\|T1027.011]] | Config RC4 no registro Windows |
| Sandbox Evasion | [[t1497-virtualizationsandbox-evasion\|T1497]] | Anti-VM/sandbox antes de ativar |
| Keylogging | [[t1056-001-keylogging\|T1056.001]] | Captura de teclas digitadas |
| Screen Capture | [[t1113-screen-capture\|T1113]] | Screenshots periodicos |
| USB Replication | [[t1091-replication-through-removable-media\|T1091]] | Propagação via USB |
| Modify Registry | [[t1112-modify-registry\|T1112]] | Armazenamento de configuração |
## Relevância LATAM/Brasil
O [[g0007-apt28|APT28]] tem interesse operacional em alvos de alto valor geopolitico, e o Brasil representa um alvo relevante por sua posicao diplomatica no G20, BRICS e como principal economia da América Latina. O risco e especialmente elevado para:
- **Setor diplomatico/Itamaraty:** o APT28 historicamente compromete ministérios de relacoes exteriores europeus; o Brasil mantem posicoes independentes em conflitos geopoliticos que interessam a Russia
- **Setor de defesa:** empresas como Embraer e o Ministerio da Defesa sao alvos plausíveis em contexto de inteligência militar
- **Períodos eleitorais:** o APT28 tem historico documentado de interferencia eleitoral (EUA 2016, Franca 2017); eleicoes brasileiras sao cenário de alto risco
- **Infraestrutura critica:** energeticas e telecomúnicacoes com redes heterogeneas Windows/Linux sao vulneraveis a variantes multi-plataforma do CHOPSTICK
A capacidade de air-gap via USB e particularmente relevante para organizacoes brasileiras governamentais que operam redes segmentadas - o CHOPSTICK pode comprometer essas redes através de dispositivos de funcionarios que transitam entre redes.
## Detecção
**Fontes de dados recomendadas:**
- **Windows Registry Monitoring:** valores de alta entropia em chaves como `HKCU\Software\Microsoft\Windows\CurrentVersion\` com nomes de parametros aleatorios - padrao de armazenamento RC4 do CHOPSTICK
- **Sysmon Event ID 11 (FileCreaté) + Event ID 3 (NetworkConnect):** arquivos criados em dispositivos removíveis seguidos de conexoes de rede - indicador de operação de air-gap
- **Email server logs:** conexoes IMAP de processos nao-clientes de email (outlook.exe, thunderbird.exe) - uso de SMTP/IMAP como canal C2 ([[t1071-003-mail-protocols|T1071.003]])
- **Process monitoring:** execução de processos em horario incomum com acesso a APIs de captura de tela (GDI+, BitBlt) - keylogging/screenshot em background
**Regras de detecção:**
- **YARA:** `apt_sofacy_chopstick.yar` - strings RC4 caracteristicas, estrutura de comunicação C2 multi-protocolo (Florian Roth/signature-base)
- **Sigma:** registry modification by non-system processes in `HKCU\Software\` com valores binarios grandes (>1KB) - possível configuração criptografada
- **Suricata/Snort:** padroes de heartbeat HTTP com intervalos regulares (60-300s) para IPs nao categorizados - padrao de beacon do CHOPSTICK
## Referências
- [1](https://attack.mitre.org/software/S0023) MITRE ATT&CK - S0023 CHOPSTICK (2024)
- [2](https://www.crowdstrike.com/blog/bears-midst-intrusion-democratic-national-committee/) CrowdStrike - Bears in the Midst: Intrusion into the Democratic National Committee (2016)
- [3](https://www.welivesecurity.com/2016/10/20/en-root-sednit-part-2-observing-the-comings-and-goings/) ESET WeLiveSecurity - En Route with Sednit: Observing the Comings and Goings (2016)
- [4](https://www.f-secure.com/documents/996508/1030745/blackenergy_whitepaper.pdf) F-Secure - Sofacy Recycles Carberp and Metasploit Code (2014)
- [5](https://www.mandiant.com/resources/apt28-a-window-into-russias-cyber-espionage-operations) Mandiant - APT28: A Window Into Russia's Cyber Espionage Operations (2014)
- [6](https://unit42.paloaltonetworks.com/unit42-sofacy-groups-parallel-intruder/) Palo Alto Unit42 - Sofacy Group's Parallel Intruder (2018)