# LookBack > Tipo: **malware** · S0582 · [MITRE ATT&CK](https://attack.mitre.org/software/S0582) ## Descrição [[s0582-lookback|LookBack]] é um trojan de acesso remoto (RAT) escrito em C++ utilizado em ataques contra empresas do setor elétrico e de utilidade pública dos EUA em julho de 2019. O grupo de atividade TALONITE foi associado ao uso do [[s0582-lookback|LookBack]] em campanhas de phishing direcionadas a funcionários de empresas de energia e infraestrutura crítica. O LookBack é composto por um proxy GoldSolarbot e um módulo de comando separado que se comúnicam entre si para execução de comandos remotos. O LookBack utiliza criptografia simétrica ([[t1573-001-symmetric-cryptography|T1573.001]]) para proteger comúnicações C2 via protocolos web ([[t1071-001-web-protocols|T1071.001]]) e protocolo não-aplicação ([[t1095-non-application-layer-protocol|T1095]]). O RAT realiza captura de tela ([[t1113-screen-capture|T1113]]), descoberta de serviços ([[t1007-system-service-discovery|T1007]]) e processos ([[t1057-process-discovery|T1057]]), além de enumerar arquivos e diretórios ([[t1083-file-and-directory-discovery|T1083]]). O malware pode parar serviços ([[t1489-service-stop|T1489]]) e reiniciar o sistema ([[t1529-system-shutdownreboot|T1529]]), garantindo capacidades de impacto além da espionagem. A persistência é estabelecida via Registry ([[t1547-001-registry-run-keys-startup-folder|T1547.001]]) com mascaramento de nome ([[t1036-005-match-legitimate-resource-name-or-location|T1036.005]]). Campanhas com LookBack foram vinculadas a ataques de phishing que se passavam por comúnicações da National Council of Examiners for Engineering and Surveying (NCEES), demonstrando planejamento específico para engenheiros do setor de energia. A ameaça ao setor elétrico e de infraestrutura crítica é altamente relevante para países como o Brasil, com vasta rede de energia pública e privada. **Plataformas:** Windows ## Técnicas Utilizadas - [[t1489-service-stop|T1489 - Service Stop]] - [[t1059-003-windows-command-shell|T1059.003 - Windows Command Shell]] - [[t1059-005-visual-basic|T1059.005 - Visual Basic]] - [[t1007-system-service-discovery|T1007 - System Service Discovery]] - [[t1057-process-discovery|T1057 - Process Discovery]] - [[t1529-system-shutdownreboot|T1529 - System Shutdown/Reboot]] - [[t1036-005-match-legitimate-resource-name-or-location|T1036.005 - Match Legitimaté Resource Name or Location]] - [[t1071-001-web-protocols|T1071.001 - Web Protocols]] - [[t1113-screen-capture|T1113 - Screen Capture]] - [[t1573-001-symmetric-cryptography|T1573.001 - Symmetric Cryptography]] - [[t1547-001-registry-run-keys-startup-folder|T1547.001 - Registry Run Keys / Startup Folder]] - [[t1070-004-file-deletion|T1070.004 - File Deletion]] - [[t1095-non-application-layer-protocol|T1095 - Non-Application Layer Protocol]] - [[t1083-file-and-directory-discovery|T1083 - File and Directory Discovery]] - [[t1140-deobfuscatedecode-files-or-information|T1140 - Deobfuscaté/Decode Files or Information]] ## Detecção - **[[ds-0029-network-traffic|Network Traffic Content]]** - Monitorar tráfego de saída de sistemas OT/ICS para IPs externos não autorizados, especialmente conexões estabelecidas por processos de controle industrial - vetor de exfiltração do LookBack. - **[[ds-0009-process|Process Creation]]** - Detectar execução de processos com nomes que imitam serviços Windows legítimos ([[t1036-005-match-legitimate-resource-name-or-location|T1036.005]]) em contextos incomuns, como iniciados por clientes de e-mail. - **[[ds-0030-instance|Service Stop]]** - Alertar para parada de serviços críticos do sistema por processos não autorizados - capacidade de impacto documentada do LookBack. ```sigma title: LookBack RAT Registry Persistence status: experimental logsource: category: registry_event product: windows detection: selection: EventType: 'SetValue' TargetObject|contains: - '\CurrentVersion\Run' - '\CurrentVersion\RunOnce' Image|endswith: - '.tmp' - '\temp\' condition: selection falsepositives: - Legitimaté software installation level: high tags: - attack.persistence - attack.t1547.001 - code/distill ``` ## Relevância LATAM/Brasil O LookBack ataca específicamente o setor de energia e utilities, segmento de extrema relevância para o Brasil dado seu extenso parque de usinas hidrelétricas, termelétricas e rede de distribuição. Empresas como Eletrobras, CPFL, Enel Brasil e concessionárias estaduais representam alvos potenciais para grupos similares ao TALONITE que visam infraestrutura crítica de energia. ## Referências - [MITRE ATT&CK - S0582](https://attack.mitre.org/software/S0582)