Uma nova campanha DCRat está usando um formato de imagem familiar para esconder um arquivo de malware perigoso. A operação começa com e-mails de phishing que se passam por notificações legais e instam os destinatários a abrir um arquivo SVG anexado.
Descoberta e escopo
O anexo parece inofensivo porque arquivos SVG são comumente usados para gráficos. Neste caso, no entanto, o arquivo contém código oculto que cria e baixa um arquivo compactado protegido por senha diretamente dentro do navegador da vítima. Analistas da Trellix identificaram a campanha após investigar uma escalada de cliente no início de 2026.
Os pesquisadores descobriram que os atacantes combinaram engenharia social, código oculto do navegador, DLL sideloading e process hollowing para colocar o DCRat dentro de um processo Windows confiável. A Trellix disse em um relatório compartilhado com a Cyber Security News que o DCRat, também conhecido como DarkCrystal RAT, dá aos operadores acesso remoto a sistemas infectados.
Esse acesso pode ser usado para executar comandos, coletar dados, manter o controle e se comunicar com um servidor de comando e controle. A campanha destaca como arquivos aparentemente comuns podem se tornar o primeiro passo em um comprometimento muito maior.
Vetor e exploração
O isco de phishing imita uma notificação judicial colombiana intitulada "Resolución Denuncia Jurídica". Quando um destinatário abre o anexo SVG, ele exibe um portal de consulta de cidadãos falso projetado para fazer a mensagem parecer oficial. Clicar na página redireciona a vítima para outra tela que afirma que o download do arquivo foi concluído.
A página fornece a senha "1601", incentivando o destinatário a abrir o arquivo compactado e reduzindo a suspeita por meio de um processo encenado e crível. Por trás do conteúdo visual, o SVG inclui JavaScript codificado em Base64 duplo. O script decodifica seu conteúdo e usa uma função Blob do navegador para reconstruir um arquivo compactado na memória antes de salvá-lo como DOC-16-ENE-2026 RESOLUCION DENUNCIA JURIDICA.7z.
Esse método é conhecido como HTML smuggling. Permite que criminosos ocultem um download malicioso dentro de um arquivo que as ferramentas de segurança de e-mail podem tratar como uma imagem, em vez de um executável ou script. A tática importa porque desloca parte do ataque para o navegador.
DLL sideloading mascara DCRat
O arquivo compactado baixado contém um executável isca e vários arquivos DLL feitos para se parecerem com componentes de compressão Brotli. O executável principal carrega libbrotlidec.dll e libbrotlienc.dll, permitindo que os atacantes explorem o comportamento de pesquisa de DLL do Windows. Quando a vítima lança o programa isca, o sistema operacional carrega as bibliotecas fornecidas pelo atacante da mesma pasta.
Essa técnica de DLL sideloading faz com que a atividade maliciosa pareça conectada a um aplicativo normal e pode tornar a detecção inicial mais difícil. O loader cria uma pasta no diretório do usuário, copia arquivos para ela e estabelece persistência por meio de uma entrada de Execução do Registro do Windows.
Ele então decodifica sua próxima carga útil na memória, reduzindo a quantidade de material claramente malicioso escrito no disco. A carga útil inicia AddInProcess32.exe em um estado suspenso, substitui sua memória original por código malicioso e retoma o processo. Esse método de process hollowing permite que o DCRat seja executado sob o nome de um componente Windows legítimo enquanto mantém capacidades de controle remoto.
Medidas de mitigação recomendadas
As organizações devem fortalecer a triagem de anexos SVG e HTML, inspecionar downloads de arquivos compactados inesperados e monitorar carregamento anormal de DLL e criação de processo. As equipes também devem correlacionar o comportamento do endpoint com a atividade de rede, validar a integridade do arquivo, caçar entradas suspeitas de Registro do Execução e manter a higiene de patches.
O treinamento de conscientização permanece importante porque essa cadeia ainda depende de uma pessoa abrindo o anexo e lançando o arquivo extraído. Os indicadores de comprometimento (IoCs) incluem hashes de e-mail, SVG, 7Zip, DLL e PE, além de endereços IP de servidor de comando e controle.
Perguntas frequentes
O que é HTML smuggling?
Técnica que constrói conteúdo malicioso localmente no navegador da vítima usando arquivos aparentemente inofensivos como imagens.
Como o DCRat se esconde?
Usa DLL sideloading e process hollowing para rodar sob nomes de processos legítimos do Windows.
Quais são os IoCs principais?
Hashes de arquivos específicos e endereços IP de C2 listados no relatório da Trellix devem ser monitorados nos SIEMs.