# Bisonal > Tipo: **malware** · S0268 · [MITRE ATT&CK](https://attack.mitre.org/software/S0268) ## Descrição [[s0268-bisonal|Bisonal]] é uma ferramenta de acesso remoto (RAT) utilizada pelo [[g0131-tonto-team|Tonto Team]] (também conhecido como CactusPete, Bronze Huntley) contra organizações dos setores público e privado na Rússia, Coreia do Sul e Jápão desde pelo menos dezembro de 2010. O malware é continuamente atualizado, com variantes documentadas ao longo de mais de uma década de operações ativas de espionagem. O [[s0268-bisonal|Bisonal]] comúnica-se com infraestrutura C2 usando criptografia simétrica (T1573.001) para proteger o tráfego de rede. Para persistência, registra-se como um serviço Windows (T1543.003) ou via Registry Run Keys (T1547.001), e utiliza Add-ins do Office (T1137.006) como vetor alternativo de persistência. O malware realiza verificações de sandbox baseadas em tempo (T1497.003) e evita ambientes virtualizados antes de executar seu payload principal. Capacidades incluem coleta de dados do sistema local, descoberta de processos e transferência de ferramentas adicionais. A atribuição ao [[g0131-tonto-team|Tonto Team]] é consistente com o histórico de espionagem patrocinada pela China contra alvos no Extremo Oriente e Ásia-Pacífico. Pesquisadores da Kaspersky e da ESET documentaram múltiplas variantes do [[s0268-bisonal|Bisonal]] desde 2011, com campanhas recentes visando também organizações militares e de defesa. O uso de scripts Visual Basic (T1059.005) para execução de macros em documentos de spear-phishing é uma característica consistente das campanhas documentadas. **Plataformas:** Windows ## Técnicas Utilizadas - [[t1106-native-api|T1106 - Native API]] - [[t1070-004-file-deletion|T1070.004 - File Deletion]] - [[t1573-001-symmetric-cryptography|T1573.001 - Symmetric Cryptography]] - [[t1057-process-discovery|T1057 - Process Discovery]] - [[t1105-ingress-tool-transfer|T1105 - Ingress Tool Transfer]] - [[t1497-virtualizationsandbox-evasion|T1497 - Virtualization/Sandbox Evasion]] - [[t1543-003-windows-service|T1543.003 - Windows Service]] - [[t1137-006-add-ins|T1137.006 - Add-ins]] - [[t1059-005-visual-basic|T1059.005 - Visual Basic]] - [[t1140-deobfuscatedecode-files-or-information|T1140 - Deobfuscaté/Decode Files or Information]] - [[t1027-013-encryptedencoded-file|T1027.013 - Encrypted/Encoded File]] - [[t1083-file-and-directory-discovery|T1083 - File and Directory Discovery]] - [[t1547-001-registry-run-keys-startup-folder|T1547.001 - Registry Run Keys / Startup Folder]] - [[t1005-data-from-local-system|T1005 - Data from Local System]] - [[t1497-003-time-based-checks|T1497.003 - Time Based Checks]] ## Grupos que Usam - [[g0131-tonto-team|Tonto Team]] ## Detecção - **Sysmon Event ID 13** (Registry Value Set): monitorar criação de chaves `HKCU\Software\Microsoft\Windows\CurrentVersion\Run` por processos não-administrativos como indicador de persistência via Registry Run Keys (T1547.001) - **Sysmon Event ID 25** (Process Tampering): detectar modificação de tempo de processo como indicativo de verificações anti-sandbox baseadas em tempo (T1497.003) - **EDR**: alertar em criação de serviços Windows por executáveis com assinatura inválida ou ausente; monitorar Add-ins de Office sendo carregados de diretórios temporários ou de perfil de usuário (T1137.006) - **Referência Sigma**: `registry_event_office_vba_addins.yml` (Sigma HQ) para detecção de Add-ins VBA maliciosos em aplicações Office ## Relevância LATAM/Brasil O [[g0131-tonto-team|Tonto Team]] opera primariamente no contexto geopolítico do Extremo Oriente, mas as técnicas do [[s0268-bisonal|Bisonal]] - especialmente o uso de spear-phishing com macros VBA e persistência via serviços Windows - são replicadas por grupos de espionagem que atuam na América Latina. Organizações brasileiras nos setores de governo, defesa e energia com presença ou parcerias na região Ásia-Pacífico devem considerar os indicadores de [[s0268-bisonal|Bisonal]] relevantes. A métodologia de campanha do [[g0131-tonto-team|Tonto Team]] é estudada como referência por analistas de CTI que monitoram ameaças de espionagem patrocinadas por estados contra o Brasil. ## Referências - [MITRE ATT&CK - S0268](https://attack.mitre.org/software/S0268)