# BADFLICK
> Tipo: **malware** · S0642 · [MITRE ATT&CK](https://attack.mitre.org/software/S0642)
## Descrição
[[s0642-badflick|BADFLICK]] é um backdoor utilizado pelo [[g0065-leviathan|Leviathan]] (também conhecido como TEMP.Periscope, APT40 e Mudcarp) em campanhas de espionagem contra as indústrias de engenharia marítima e defesa dos EUA, relatadas pela primeira vez em 2018. O [[g0065-leviathan|Leviathan]] é um grupo APT atribuído à China com foco em setores de interesse estratégico para a marinha e tecnologia militar chinesa, e o BADFLICK representa uma das ferramentas de accesso remoto usadas para coletar informações técnicas sensíveis.
O BADFLICK é distribuído via spearphishing com anexos maliciosos ([[t1566-001-spearphishing-attachment|T1566.001]]) que exploram execução de arquivos pelo usuário ([[t1204-002-malicious-file|T1204.002]]). Inclui verificações de tempo ([[t1497-003-time-based-checks|T1497.003]]) para evadir sandboxes que executam amostras de forma acelerada. Após implantação, realiza reconhecimento do sistema ([[t1082-system-information-discovery|T1082]]), rede ([[t1016-system-network-configuration-discovery|T1016]]) e arquivos ([[t1083-file-and-directory-discovery|T1083]]), coleta dados locais ([[t1005-data-from-local-system|T1005]]) e os comprime para exfiltração ([[t1560-002-archive-via-library|T1560.002]]). O download de ferramentas adicionais ([[t1105-ingress-tool-transfer|T1105]]) e a decodificação de payloads ([[t1140-deobfuscatedecode-files-or-information|T1140]]) completam as capacidades do backdoor.
O [[g0065-leviathan|Leviathan]] foi associado a campanhas de espionagem contra contratados de defesa e estaleiros navais nos EUA e em países aliados entre 2017 e 2019. O BADFLICK foi parte de uma operação de múltiplos estágios que também incluiu outras ferramentas como MURKYTOP e HOMEFRY para escalada de privilégios e movimento lateral após o comprometimento inicial.
**Plataformas:** Windows
## Técnicas Utilizadas
- [[t1082-system-information-discovery|T1082 - System Information Discovery]]
- [[t1560-002-archive-via-library|T1560.002 - Archive via Library]]
- [[t1083-file-and-directory-discovery|T1083 - File and Directory Discovery]]
- [[t1204-002-malicious-file|T1204.002 - Malicious File]]
- [[t1005-data-from-local-system|T1005 - Data from Local System]]
- [[t1566-001-spearphishing-attachment|T1566.001 - Spearphishing Attachment]]
- [[t1497-003-time-based-checks|T1497.003 - Time Based Checks]]
- [[t1016-system-network-configuration-discovery|T1016 - System Network Configuration Discovery]]
- [[t1105-ingress-tool-transfer|T1105 - Ingress Tool Transfer]]
- [[t1140-deobfuscatedecode-files-or-information|T1140 - Deobfuscaté/Decode Files or Information]]
## Grupos que Usam
- [[g0065-leviathan|Leviathan]]
## Detecção
- **Sysmon Event ID 1** (Process Creation): monitorar abertura de anexos de e-mail (`.doc`, `.xls`, `.pdf`) seguida de criação de processos filhos inesperados - vetor de entrega do BADFLICK via spearphishing.
- **Análise de tempo de execução**: o BADFLICK realiza verificações de tempo antes de ativar comportamento malicioso; em ambientes de sandbox com aceleração de tempo, o malware pode parecer inativo.
- **EDR telemetria**: detectar acesso a arquivos de configuração de rede e documentos sensíveis por processos não reconhecidos, seguido de criação de arquivos comprimidos em diretórios temporários.
- **Referência Sigma**: `proc_creation_win_susp_attachment_execution.yml` - execução suspeita de processos a partir de anexos de e-mail; e `file_event_win_creation_archive_susp.yml` para criação suspeita de arquivos comprimidos.
## Relevância LATAM/Brasil
O [[g0065-leviathan|Leviathan]] (APT40) foca em espionagem marítima, de defesa e tecnologia naval, com alvos primários nos EUA, Europa e Sudeste Asiático. O Brasil possui interesses relevantes nesse domínio - incluindo a Marinha do Brasil, estaleiros como o Arsenal de Marinha do Rio de Janeiro e contratos de defesa com tecnologias navais sensíveis. Organizações brasileiras do setor de defesa marítima ou com parcerias em programas de tecnologia naval avançada devem considerar o [[g0065-leviathan|Leviathan]] e ferramentas como o BADFLICK como ameaças de espionagem relevantes.
## Referências
- [MITRE ATT&CK - S0642](https://attack.mitre.org/software/S0642)