# TrailBlazer
> [!info] Identidade do Malware
> **Tipo:** backdoor modular stealth · **MITRE:** [S0682](https://attack.mitre.org/software/S0682) · **Grupo:** [[g0016-apt29|APT29]] (Cozy Bear / SVR)
> **Plataformas:** Windows · **Ativo desde:** 2019 · **C2:** mascarado como Google Notifications (HTTP)
> **Contexto:** implante de segunda fase do APT29, usado em conjunto com [[chopstick|CHOPSTICK]] e [[s0559-sunburst|SUNBURST]]
## Visão Geral
[[s0682-trailblazer|TrailBlazer]] e um backdoor modular sofisticado utilizado pelo [[g0016-apt29|APT29]] desde pelo menos 2019. Sua caracteristica mais notavel e o mascaramento do trafico C2 como requisicoes legitimas para servicos Google - específicamente notificacoes do Google Notifications - tornando o trafico práticamente indistinguivel do trafico normal de um dispositivo Windows. O malware foi atribuido pelo NCSC (Centro Nacional de Cibersegurança do Reino Unido) e CISA em reportes sobre operações do SVR russo.
O [[s0682-trailblazer|TrailBlazer]] e utilizado como implante de segunda fase após estabelecimento inicial de acesso, geralmente junto com o [[chopstick|CHOPSTICK]] (X-Agent) ou após comprometimento via [[s0559-sunburst|SUNBURST]]. A persistência via WMI Event Subscription ([[t1546-003-windows-management-instrumentation-event-subscription|T1546.003]]) e uma técnica avancada que sobrevive a reinicializacoes e nao aparece em autoruns tradicionais, tornando-a invisivel para muitas ferramentas de análise de persistência.
## Como Funciona
O TrailBlazer e tipicamente entregue como DLL por um dropper após comprometimento inicial. Seu funcionamento:
1. **Mascaramento como Google Notifications** - todo trafico C2 imita requisicoes HTTP de notificacoes do Google, com headers e estrutura identica a requisicoes legitimas ([[t1036-masquerading|T1036]])
2. **Junk data padding** - insere dados aleatórios (junk data) em comúnicacoes ([[t1001-001-junk-data|T1001.001]]) para dificultar detecção por análise de tamanho/padrao de pacotes
3. **Ofuscação de dados** - dados reais de C2 sao obfuscados ([[t1001-data-obfuscation|T1001]]) dentro do payload HTTP mascarado
4. **Persistência via WMI Event** - registra WMI Event Subscription ([[t1546-003-windows-management-instrumentation-event-subscription|T1546.003]]) para execução automatica em eventos do sistema (login, etc.)
5. **Comúnicação HTTP bidireacional** - usa HTTP/HTTPS ([[t1071-001-web-protocols|T1071.001]]) para toda comunicação, impossibilitando distincao de trafico normal
6. **Arquitetura modular** - funcionalidades adicionais (keylog, screenshot, lateral movement) sao carregadas como módulos separados sob demanda
A combinacao de mascaramento de C2 com Google + junk data torna o TrailBlazer um dos backdoors mais dificeis de detectar via análise de rede - o trafico e identico ao de um dispositivo Windows atualizado normalmente.
## Attack Flow
```mermaid
graph TB
A["Acesso inicial APT29<br/>Phishing ou supply chain<br/>Ex: após SUNBURST"] --> B["TrailBlazer implantado<br/>DLL carregada por dropper<br/>Implante de segunda fase"]
B --> C["Persistência WMI Event<br/>T1546.003 - sobrevive reinicio<br/>Invisivel para autoruns"]
C --> D["C2 mascarado como Google<br/>HTTP para Google Notifications<br/>T1036 masquerading"]
D --> E["Junk data obfuscation<br/>Dados reais ocultos no trafico<br/>T1001.001 - análise de rede frustrada"]
E --> F["Execução modular<br/>Módulos carregados sob demanda<br/>Keylog, screenshot, lateral"]
F --> G["Exfiltração persistente<br/>Longo prazo sem detecção<br/>APT29 - paciencia operacional"]
classDef access fill:#e74c3c,color:#fff
classDef implant fill:#e67e22,color:#fff
classDef persist fill:#27ae60,color:#fff
classDef c2 fill:#3498db,color:#fff
classDef obfusc fill:#9b59b6,color:#fff
classDef exec fill:#1abc9c,color:#fff
classDef exfil fill:#2c3e50,color:#fff
class A access
class B implant
class C persist
class D,E c2
class F exec
class G exfil
```
**Legenda:** [[g0016-apt29|APT29]] - [[t1546-003-windows-management-instrumentation-event-subscription|T1546.003]] - [[t1001-001-junk-data|T1001.001]] - [[s0559-sunburst|SUNBURST]]
## Timeline
```mermaid
timeline
title TrailBlazer - APT29 Segunda Fase
2019 : Primeiras evidencias de uso
: Campanha contra alvos diplomaticos
2020 : SolarWinds - pos-SUNBURST
: TrailBlazer como segundo implante
2021 : NCSC UK e CISA advisory conjunto
: SVR TTPs publicadas - TrailBlazer mencionado
2021 : Microsoft e Google notificam alvos
: Campanhas contra pesquisadores COVID
2022 : Campanhas continuadas
: Alvos: governo, defesa, think tanks
2023 : Variantes atualizadas identificadas
: Modularidade expandida
```
## Técnicas Utilizadas (MITRE ATT&CK)
| Técnica | ID | Descrição |
|---------|-----|-----------|
| Masquerading | [[t1036-masquerading\|T1036]] | C2 mascarado como Google Notifications |
| Junk Data | [[t1001-001-junk-data\|T1001.001]] | Dados aleatorios para confundir análise |
| Data Obfuscation | [[t1001-data-obfuscation\|T1001]] | Dados C2 reais obfuscados no HTTP |
| Web Protocols | [[t1071-001-web-protocols\|T1071.001]] | HTTP/HTTPS para toda comunicação C2 |
| WMI Event Subscription | [[t1546-003-windows-management-instrumentation-event-subscription\|T1546.003]] | Persistência via eventos WMI |
## Relevância LATAM/Brasil
O [[g0016-apt29|APT29]] (SVR russo) opera com foco em governos, diplomacia, saúde, energia e think tanks - alvos de alto valor onde o Brasil tem presenca significativa:
- **Ministerio de Relacoes Exteriores / Itamaraty** - o APT29 tem historico de comprometimento de ministerios de exterior em todo o mundo; o Brasil como membro do G20 e BRICS e polo diplomatico estratégico para a Russia
- **Pesquisa e universidades** - o APT29 comprometeu pesquisadores de vacinas COVID em 2020; universidades brasileiras (USP, UNICAMP, FIOCRUZ) com pesquisa estratégica sao alvos analogos
- **C2 via Google impossibilita detecção por blacklist** - organizacoes brasileiras que bloqueiam trafico apenas por blacklists sao completamente vulneraveis ao TrailBlazer; somente SSL inspection e análise comportamental detecta
- **Post-SolarWinds exposure** - organizacoes brasileiras que usam SolarWinds Orion podem ter sido expostas ao [[s0559-sunburst|SUNBURST]] e ter o TrailBlazer como segundo implante instalado sem saber
O [[s0682-trailblazer|TrailBlazer]] representa uma ameaça de espionagem de longo prazo - o SVR opera com horizontes de anos, nao meses.
## Detecção
**Fontes de dados recomendadas:**
- **TLS inspection:** inspecao de conteudo HTTPS mesmo para dominios Google - trafico anormal de `notifications.googleapis.com` por processos nao-browser pode indicar C2
- **WMI event subscription audit:** listar todas as WMI Event Subscriptions com `Get-WMIObject -Namespace root\subscription -Class __EventFilter` - qualquer subscription desconhecida e suspeita
- **Process behavior analysis:** processos Windows fazendo requisicoes HTTP regulares para APIs Google sem contexto de aplicação conhecida - beacon pattern
- **Memory forensics:** artefatos do TrailBlazer em memoria de processos legítimos - DLL injection pattern tipico do APT29
**Regras de detecção:**
- **PowerShell audit:** `Get-WMIObject -Namespace root\subscription -Class __FilterToConsumerBinding` semanal - WMI Event Subscriptions maliciosas nao aparecem em autoruns tradicionais
- **Network baseline:** qualquer processo diferente de browser, Chrome, ou aplicativo conhecido fazendo requisicoes para `googleapis.com` ou `google.com` - possível mascaramento C2
- **EDR hunting:** DLL loaded by processo nao Google para chamadas a `WinHttpOpen`/`WinHttpConnect` para endpoints Google sem assinatura Google válida
## Referências
- [1](https://attack.mitre.org/software/S0682) MITRE ATT&CK - S0682 TrailBlazer (2024)
- [2](https://www.ncsc.gov.uk/news/russian-svr-activity-exposed-apt29) NCSC UK - Russian SVR Activity Exposed as APT29 (2021)
- [3](https://us-cert.cisa.gov/ncas/advisories/aa21-116a) CISA - SVR Cyber Operations: Trends and Best Practices for Network Defenders (2021)
- [4](https://unit42.paloaltonetworks.com/cozy-bear-apt29-post-compromise/) Palo Alto Unit42 - APT29 Post-Compromise Activity (2022)
- [5](https://www.microsoft.com/en-us/security/blog/2021/05/27/new-sophisticated-email-based-attack-from-nobelium/) Microsoft - NOBELIUM/APT29 TTPs (2021)