Um backdoor furtivo do Windows ressurgiu em conjunto com o Daxin, uma ferramenta de espionagem sofisticada anteriormente associada a atividades ligadas à China. O implante recém-documentado permite que um intruso digite um nome de usuário especial na tela de login do Windows e, em alguns casos, abra imediatamente um shell de comando com os privilégios mais altos do sistema. A atividade foi descoberta em um computador comprometido em uma subsidiária taiwanesa de um fabricante multinacional de alta tecnologia.
Mecanismo de ataque e stealth
O Backdoor.Stupig disfarça-se como parte do suporte de teclado do Windows em vez de se comportar como um programa de acesso remoto convencional. Ele registra-se como um provedor de layout de teclado, fazendo com que o Windows carregue o DLL malicioso no winlogon.exe durante a inicialização, enquanto retorna dados normais de teclado para que o dispositivo pareça funcionar como esperado.
Uma vez ativo, o backdoor monitora a tela de logon em busca de nomes de usuário que começam com o prefixo stupig. Se o atacante digitar apenas esse prefixo, ele lança um prompt de comando SYSTEM na área de trabalho segura; se texto seguir o prefixo, esse texto é executado como um comando com o mesmo nível de acesso. O programa então passa a solicitação para o processo legítimo de logon do Windows, que produz uma resposta de falha de entrada de senha comum.
Isso significa que os defensores podem ver um nome de usuário incomum falho, mas nenhuma anomalia óbvia de auditoria de logon mostrando que um shell privilegiado foi criado, tornando um teste simples em nível de tela excepcionalmente valioso para um intruso com acesso ao console. O Stupig também coloca hooks em funções do Windows usadas durante a autenticação e manipulação de credenciais, permitindo que capture informações dentro do winlogon.exe.
Relação com o Daxin e espionagem persistente
O Daxin é um backdoor de nível de kernel do Windows exposto pela primeira vez em 2022, embora amostras datem de 2013. Em vez de fazer uma conexão de saída clara para um servidor de controle, ele monitora o tráfego TCP de entrada em busca de padrões específicos e assume conexões legítimas para transportar instruções criptografadas. Essa abordagem pode misturar tráfego malicioso na atividade de rede normal e torna o monitoramento convencional menos eficaz.
O Daxin também pode retransmitir comandos através de vários dispositivos comprometidos, potencialmente dando aos operadores uma rota para áreas de rede isoladas que não têm conexão direta com a internet. Ambas as amostras carregavam carimbos de compilação do início de 2013, enquanto o sistema afetado não começou a fornecer telemetria até 12 de maio de 2026. Essa lacuna, juntamente com o histórico de persistência silenciosa do grupo, deixa aberta a possibilidade de que a intrusão permaneceu oculta por anos.
Evidências e indicadores de comprometimento
Os pesquisadores do Symantec identificaram o Daxin e o Backdoor.Stupig anteriormente desconhecido no mesmo host durante uma investigação em maio de 2026. O relatório sugere uma operação de longa duração, embora uma ligação direta em nível de código entre as duas ferramentas não tenha sido confirmada. Os arquivos de malware também foram detectados sob nomes diferentes, uma mudança que pareceu seguir o primeiro evento de detecção.
Os indicadores de comprometimento (IoCs) incluem o hash SHA-256 do Backdoor.Daxin (srt64.sys) e do Backdoor.Stupig (a.dll ou kbdus1.dll). Os defensores devem urgentemente substituir instalações de Java não suportadas e revisar sistemas de single sign-on expostos, especialmente implantações mais antigas do Digiwin. Eles também devem examinar registros de layout de teclado e DLLs carregadas pelo winlogon.exe.
Recomendações para equipes de SOC
As equipes de segurança devem investigar logons falhos usando nomes incomuns com prefixo stupig e caçar os indicadores abaixo em sistemas Windows. Revisar sistemas que carecem de telemetria histórica é igualmente importante, já que implantes dormentes podem apenas surgir quando o monitoramento melhora. Isso inclui validar todos os ativos legados restantes.
A validação de todos os módulos de tempo de autenticação não familiares é crucial. A detecção de DLLs carregadas pelo winlogon.exe deve ser parte integrante das verificações de integridade de endpoint. A monitoração de tráfego de rede para padrões de tráfego TCP incomuns pode ajudar a identificar o comportamento do Daxin. A resposta a incidentes deve incluir a análise forense de sistemas suspeitos para determinar a extensão do comprometimento.
Implicações para a segurança corporativa
Este caso importa porque o backdoor opera antes que uma sessão de usuário normal comece, onde muitas organizações têm visibilidade limitada. Seu design pode dar a um atacante execução de comando como SYSTEM, a conta local mais poderosa do Windows, enquanto também cria uma oportunidade para interceptar credenciais inseridas durante o processo de entrada. Como é carregado por um componente Windows confiável, verificações de endpoint rotineiras podem não distinguir imediatamente de suporte de teclado legítimo.
A persistência de longo prazo sugerida pelos carimbos de data de compilação indica que grupos de ameaças avançadas podem manter acesso a redes críticas por anos sem detecção. A atualização de sistemas legados e a revisão de configurações de autenticação são essenciais para mitigar esses riscos. A colaboração entre equipes de segurança e operações de TI é fundamental para garantir que ativos antigos sejam gerenciados adequadamente.
O que fazer agora
As organizações devem revisar imediatamente seus sistemas Windows em busca dos indicadores de comprometimento listados. A remoção de DLLs suspeitas e a restauração de configurações de teclado padrão são passos imediatos. A implementação de monitoramento contínuo para atividades de logon anômalas deve ser priorizada. A comunicação com fornecedores de segurança e a atualização de assinaturas de detecção são necessárias para identificar futuras variantes deste malware.