# Orz
> Tipo: **malware** · S0229 · [MITRE ATT&CK](https://attack.mitre.org/software/S0229)
## Descrição
[[s0229-orz|Orz]] é um backdoor personalizado em JavaScript utilizado pelo [[g0065-leviathan|Leviathan]] (APT40), grupo de espionagem chinês focado em defesa marítima e tecnologia naval. Foi observado em uso em 2014 e também em agosto de 2017, quando era entregue por meio de arquivos do Microsoft Publisher como vetor de infecção inicial.
O Orz usa Regsvr32 ("squiblydoo") para execução de código JavaScript sem arquivo, técnica que contorna controles de execução baseados em whitelist. O malware emprega process hollowing para injetar código em processos legítimos, utiliza comunicação bidirecional via serviços web para C2 e remove indicadores de comprometimento para dificultar forense. A modificação do registro garante persistência entre reinicializações.
O [[g0065-leviathan|Leviathan]] utiliza o Orz principalmente contra organizações de defesa, estaleiros, empresas de engenharia naval e instituições acadêmicas relacionadas ao setor, especialmente nos Estados Unidos, Europa e países do Indo-Pacífico.
**Plataformas:** Windows
## Técnicas Utilizadas
- [[t1083-file-and-directory-discovery|T1083 - File and Directory Discovery]]
- [[t1059-003-windows-command-shell|T1059.003 - Windows Command Shell]]
- [[t1218-010-regsvr32|T1218.010 - Regsvr32]]
- [[t1102-002-bidirectional-communication|T1102.002 - Bidirectional Commúnication]]
- [[t1057-process-discovery|T1057 - Process Discovery]]
- [[t1082-system-information-discovery|T1082 - System Information Discovery]]
- [[t1070-indicator-removal|T1070 - Indicator Removal]]
- [[t1518-software-discovery|T1518 - Software Discovery]]
- [[t1105-ingress-tool-transfer|T1105 - Ingress Tool Transfer]]
- [[t1112-modify-registry|T1112 - Modify Registry]]
- [[t1016-system-network-configuration-discovery|T1016 - System Network Configuration Discovery]]
- [[t1055-012-process-hollowing|T1055.012 - Process Hollowing]]
- [[t1027-obfuscated-files-or-information|T1027 - Obfuscated Files or Information]]
## Grupos que Usam
- [[g0065-leviathan|Leviathan]]
## Detecção
- Monitorar execução de Regsvr32 com arquivos JavaScript ou SCT remotos ([[t1218-010-regsvr32|T1218.010]])
- Detectar process hollowing - criação de processo suspenso seguido de escrita de memória ([[t1055-012-process-hollowing|T1055.012]])
- Alertar para modificações no registro por processos JavaScript ou de documentos ([[t1112-modify-registry|T1112]])
- Monitorar arquivos do Microsoft Publisher que executam código ([[t1059-003-windows-command-shell|T1059.003]])
## Relevância LATAM/Brasil
O [[g0065-leviathan|Leviathan]] foca no setor marítimo e de defesa naval - setores de relevância crescente para o Brasil, que possui uma das maiores forças navais da América Latina e capacidades de construção naval através da Embraer e de estaleiros como o Atlântico Sul. O interesse chinês em tecnologia naval e de defesa pode direcionar o Leviathan contra organizações brasileiras do setor de defesa e seus parceiros tecnológicos.
## Referências
- [MITRE ATT&CK - S0229](https://attack.mitre.org/software/S0229)