# OnionDuke
> Tipo: **malware** · S0052 · [MITRE ATT&CK](https://attack.mitre.org/software/S0052)
## Descrição
[[s0052-onionduke|OnionDuke]] é um malware utilizado pelo [[g0016-apt29|APT29]] (Cozy Bear, SVR russo) entre 2013 e 2015. É notável por sua distribuição via nós de saída do Tor comprometidos, onde binários legítimos baixados pela rede Tor eram infectados com o OnionDuke antes de chegarem ao usuário final - uma técnica de ataque man-in-the-middle na camada de rede que não requer interação direta com a vítima.
O OnionDuke faz parte do extenso arsenal "Duke" do [[g0016-apt29|APT29]], uma família de malware modular que inclui CosmicDuke, MiniDuke, CozyDuke e outros. Utiliza comunicação unidirecional via serviços web para receber comandos, e implementa deofuscação de payload antes da execução para dificultar análise estática. Também inclui capacidades de credential dumping e endpoint denial of service.
A abordagem de distribuição via Tor comprometido demonstra a criatividade operacional do [[g0016-apt29|APT29]] em alcançar alvos que utilizam ferramentas de privacidade, potencialmente incluindo jornalistas, ativistas e pesquisadores de segurança.
**Plataformas:** Windows
## Técnicas Utilizadas
- [[t1003-os-credential-dumping|T1003 - OS Credential Dumping]]
- [[t1499-endpoint-denial-of-service|T1499 - Endpoint Denial of Service]]
- [[t1102-003-one-way-communication|T1102.003 - One-Way Commúnication]]
- [[t1071-001-web-protocols|T1071.001 - Web Protocols]]
- [[t1140-deobfuscatedecode-files-or-information|T1140 - Deobfuscaté/Decode Files or Information]]
## Grupos que Usam
- [[g0016-apt29|APT29]]
## Detecção
- Verificar hash de binários baixados via Tor ou redes de anonimato antes da execução
- Monitorar credential dumping de processos não-administrativos ([[t1003-os-credential-dumping|T1003]])
- Detectar comunicação C2 one-way para serviços web sem resposta bidirecional ([[t1102-003-one-way-communication|T1102.003]])
- Alertar para deofuscação de payload em memória por processos suspeitos ([[t1140-deobfuscatedecode-files-or-information|T1140]])
## Relevância LATAM/Brasil
O [[g0016-apt29|APT29]] é um dos grupos de espionagem mais sofisticados do mundo e frequentemente amplia seus alvos globalmente. A técnica de comprometer nós de saída do Tor para infectar usuários que buscam anonimato é particularmente relevante no Brasil, onde a rede Tor tem uso significativo por jornalistas, ativistas e profissionais de segurança. Usuários e organizações que dependem do Tor para comúnicações sensíveis devem verificar a integridade dos downloads realizados pela rede.
## Referências
- [MITRE ATT&CK - S0052](https://attack.mitre.org/software/S0052)