Introdução ao threat actor e malware
Um novo trojano de acesso remoto (RAT) chamado Abyssos permite que atacantes controlem sistemas Windows infectados. O malware pode roubar credenciais, coletar arquivos e abrir sessões de visualização remota, enquanto seu design modular permite que operadores adicionem funções após uma infecção. O Abyssos apareceu no final de junho de 2026 e permanece em desenvolvimento.
Seus operadores podem emitir comandos através de uma conexão criptografada, coletar detalhes sobre o computador da vítima e recuperar módulos. A pesquisa não identifica um método de entrega inicial confirmado, deixando o ponto de entrada da campanha desconhecido. Nenhum isco ou exploit específico foi identificado. Pesquisadores da Zscaler identificaram o malware e o rastrearam como Abyssos.
A Zscaler disse em um relatório que encontraram várias versões e proteções em mudança, sugerindo que os desenvolvedores estão refinando ativamente para tornar a análise e detecção mais difíceis. O risco imediato é o acesso amplo, em vez de uma única ação. Um intruso com controle de uma máquina afetada pode pesquisar arquivos, coletar dados do navegador, gravar a tela, executar comandos ou avançar para contas e sistemas mais valiosos.
Análise técnica do módulo RDPWrap
Uma adição é um módulo chamado RDPWRAP, que a Zscaler disse poder estar relacionado à biblioteca de código aberto rdpwrap. O Remote Desktop Protocol permite que os usuários operem máquinas Windows remotamente. Uma ferramenta conectada a essa função pode estender o acesso do atacante após a violação.
Quando instruído por seu servidor de comando, o Abyssos escreve o módulo na pasta temporária do Windows sob um nome gerado aleatoriamente começando com "rdp". Ele então executa exports chamados abyss e GetRdpWrapText, retornando qualquer saída para o operador. O módulo é criptografado com AES-CBC antes da entrega, adicionando outro obstáculo para defensores que examinam tráfego de rede ou arquivos.
O relatório não diz que o módulo concede automaticamente acesso remoto irrestrito em todas as vítimas. Ainda assim, sua presença aponta para um esforço para ampliar o que o malware pode fazer em um dispositivo comprometido. O desenvolvimento é especialmente relevante, pois ataques de desktop remoto ocultos mostram como recursos de controle remoto podem ser combinados com roubo de credenciais para manter intrusões silenciosas.
Design modular e capacidades de roubo
O Abyssos usa um protocolo TCP personalizado e criptografia AES-GCM para a maioria das comunicações com seu servidor de comando e controle. Após o início, ele coleta detalhes do host, como nome do computador, nome de usuário, privilégios, versão do Windows, endereço IP público e localização, e envia essas informações para registrar o dispositivo.
Seus comandos podem copiar, excluir, arquivar, fazer upload e baixar arquivos. Ele também pode capturar conteúdo da área de transferência e digitação, recuperar capturas de tela, parar ou reiniciar processos e executar programas baixados. Um recurso pode abrir o Chrome com depuração remota habilitada e carregar cookies roubados, um método que pode permitir que criminosos assumam uma sessão de navegador já autenticada.
O malware pode baixar módulos para keylogging, recuperação de credenciais do Chrome e Firefox, coleta de cookies, descoberta de controlador de domínio, varredura de vulnerabilidades e tentativas de elevação de privilégios. Tais conjuntos de ferramentas expansíveis se assemelham ao perigo em táticas de evasão de carregador sem arquivo, porque as equipes de segurança podem enfrentar um conjunto de capacidades em mudança em vez de um arquivo malicioso fixo.
Evasão e detecção
O Abyssos também tenta frustrar analistas. Algumas amostras verificam máquinas virtuais e processos de análise comuns e param se as encontrarem. O código usa mudanças de fluxo de controle, valores criptografados e strings ocultas, embora a versão mais recente revisada não incluísse todas essas verificações. O malware é um framework pós-compromisso com acesso ao sistema de arquivos e módulos expansíveis.
Organizações investigando atividade Windows suspeita devem procurar comportamento inesperado de controle remoto, módulos de pasta temporária e conexões de saída criptografadas incomuns, tratando possível roubo de cookies como um incidente de segurança de conta. A lição mais ampla é que mudar uma senha sozinha pode não terminar a sessão ativa de um atacante.
Indicadores de comprometimento (IoCs)
Os indicadores de comprometimento incluem hashes SHA-256 para amostras do Abyssos (versões 2.4F e 2.1F), endereços IP de servidores de comando e controle, nomes de arquivos como windows_update_cache.json e mutexes específicos. Os defensores devem monitorar esses IOCs em suas plataformas de inteligência de ameaças e SIEMs.
Recomendações para executivos
É essencial revisar as políticas de acesso remoto e garantir que o RDP não esteja exposto à internet sem proteção adequada. A implementação de autenticação multifator e monitoramento de comportamento de usuário e entidade (UEBA) pode ajudar a detectar atividades anômalas associadas a RATs. A segmentação de rede também é crucial para limitar o movimento lateral caso uma infecção ocorra.