Pesquisadores da Kaspersky relataram um ataque à cadeia de atualização do antivírus eScan (MicroWorld Technologies) ocorrido em 20 de janeiro de 2026, quando uma atualização maliciosa foi entregue a usuários por um servidor regional comprometido.
O que houve
De acordo com o artigo do Securelist (Kaspersky), o arquivo malicioso distribuído era um Reload.exe que iniciou uma cadeia de infecção em múltiplas etapas. Morphisec foi citado como o primeiro a informar desenvolvedores do eScan, que tomaram medidas de contenção no dia 21 de janeiro.
Análise técnica resumida
- Reload.exe modificou o arquivo HOSTS (%WinDir%\System32\drivers\etc\hosts) para bloquear domínios de atualização, impedindo correções automáticas e a recuperação do produto.
- O payload criou persistência por meio de tarefas agendadas (ex.: tarefa maliciosa nomeada CorelDefrag) e gravou um binário consctlx.exe no disco.
- O arquivo malicioso foi distribuído com uma assinatura digital falsa/inválida, segundo os desenvolvedores do eScan, configurando o incidente como acesso não autorizado à infraestrutura de atualização.
Indicadores de compromisso (IoCs)
Kaspersky cita domínios e links listados inicialmente pela Morphisec, e acrescenta alguns IoCs adicionais. Exemplos citados no relatório:
- https://vhs.delrosal[.]net/i
- https://tumama.hns[.]to
- https://blackice.sol-domain[.]org
- https://codegiant[.]io/dd/dd/dd.git/download/main/middleware.ts
- https://airanks.hns[.]to
- https://csc.biologii[.]net/sooc
Resposta do fornecedor e mitigação
Os desenvolvedores do eScan informaram que isolaram a infraestrutura afetada e resetaram credenciais de acesso. Eles também disponibilizaram uma ferramenta de remoção e rollback para clientes mediante solicitação ao suporte técnico.
Kaspersky afirma que suas soluções detectam as amostras relacionadas por meio de componentes de detecção comportamental e recomenda bloquear endereços de controle conhecidos e verificar tarefas agendadas e alterações no arquivo HOSTS como sinais de comprometimento.
Recomendações para equipes de segurança
- Verificar logs de atualização do eScan em 20 de janeiro para detectar sinais de entrega de Reload.exe.
- Auditar tarefas agendadas por nomes suspeitos e revisar %WinDir%\System32\drivers\etc\hosts à procura de entradas que bloqueiem domínios de fornecedor.
- Atualizar regras de bloqueio para os IoCs disponibilizados e isolar sistemas que apresentem presença dos arquivos indicados.
- Solicitar à fornecedora a ferramenta de remoção, quando aplicável, e validar integridade do ambiente de atualização.
Limites: o artigo informa que a investigação está em curso e que a Kaspersky continuará a publicar detalhes adicionais conforme a análise avance. As informações públicas não incluem métricas de alcance/numero de clientes afetados.
Fontes: Securelist (Kaspersky) e nota técnica inicial da Morphisec; desenvolvedores do eScan contactados por meios públicos relataram contenção.