# OilBooster
> Tipo: **malware** · S1172 · [MITRE ATT&CK](https://attack.mitre.org/software/S1172)
## Descrição
[[s1172-oilbooster|OilBooster]] é um downloader escrito em Microsoft Visual C/C++ utilizado pelo [[g0049-oilrig|OilRig]] desde pelo menos 2022, inclusive contra organizações-alvo em Israel, para baixar e executar arquivos adicionais e realizar exfiltração de dados. Parte do conjunto de downloaders baseados em serviços de nuvem do [[g0049-oilrig|OilRig]], o OilBooster se diferencia pelo uso de criptografia assimétrica nas comúnicações e pelo suporte a canais de fallback para garantir resiliência operacional mesmo quando um canal C2 é bloqueado.
O malware opera com jánelas ocultas para evitar visibilidade ao usuário, utiliza comunicação bidirecional via serviços web e realiza staging local de dados antes da exfiltração. O suporte a IPC (Inter-Process Commúnication) sugere coordenação com outros implantes presentes no mesmo host comprometido.
A combinação de OilBooster, [[s1170-odagent|ODAgent]] e [[s1171-oilcheck|OilCheck]] representa uma estratégia de redundância de C2 sofisticada, onde múltiplos canais independentes garantem controle persistente sobre os alvos comprometidos pelo [[g0049-oilrig|OilRig]].
**Plataformas:** Windows
## Técnicas Utilizadas
- [[t1041-exfiltration-over-c2-channel|T1041 - Exfiltration Over C2 Channel]]
- [[t1082-system-information-discovery|T1082 - System Information Discovery]]
- [[t1567-002-exfiltration-to-cloud-storage|T1567.002 - Exfiltration to Cloud Storage]]
- [[t1564-003-hidden-window|T1564.003 - Hidden Window]]
- [[t1059-003-windows-command-shell|T1059.003 - Windows Command Shell]]
- [[t1102-002-bidirectional-communication|T1102.002 - Bidirectional Commúnication]]
- [[t1559-inter-process-communication|T1559 - Inter-Process Commúnication]]
- [[t1105-ingress-tool-transfer|T1105 - Ingress Tool Transfer]]
- [[t1071-001-web-protocols|T1071.001 - Web Protocols]]
- [[t1033-system-owneruser-discovery|T1033 - System Owner/User Discovery]]
- [[t1074-001-local-data-staging|T1074.001 - Local Data Staging]]
- [[t1008-fallback-channels|T1008 - Fallback Channels]]
- [[t1573-002-asymmetric-cryptography|T1573.002 - Asymmetric Cryptography]]
- [[t1140-deobfuscatedecode-files-or-information|T1140 - Deobfuscaté/Decode Files or Information]]
- [[t1106-native-api|T1106 - Native API]]
## Grupos que Usam
- [[g0049-oilrig|OilRig]]
## Detecção
- Monitorar processos Windows com jánelas ocultas realizando comúnicações de rede ([[t1564-003-hidden-window|T1564.003]])
- Detectar staging de arquivos em diretórios temporários seguido de upload para serviços de nuvem ([[t1074-001-local-data-staging|T1074.001]])
- Alertar para IPC entre processos onde um deles não é um processo legítimo do sistema ([[t1559-inter-process-communication|T1559]])
- Correlacionar com IoCs do OilRig (APT34) para detecção do conjunto de ferramentas completo
## Relevância LATAM/Brasil
O [[g0049-oilrig|OilRig]] demonstra capacidade operacional de longa duração e diversificação de alvos. O setor de petróleo e gás brasileiro - incluindo a Petrobras e empresas do ecossistema do pré-sal - é um alvo estratégico de interesse para grupos de espionagem estatal focados em energia. O uso de serviços de nuvem como C2 torna o OilBooster particularmente difícil de detectar sem inspeção profunda de tráfego.
## Referências
- [MITRE ATT&CK - S1172](https://attack.mitre.org/software/S1172)