Um grupo cibercriminoso chinês conhecido como GoldenEyeDog, ligado à família de malware Golden Gh0st, voltou a chamar a atenção após uma intrusão na DigiCert que expôs os riscos associados a certificados de assinatura de código. Os atacantes utilizaram o acesso para interceptar códigos de ativação de certificados de clientes e assinar seus próprios arquivos maliciosos.
O que aconteceu
A violação ocorreu em abril de 2026 e começou quando um funcionário de suporte da DigiCert executou um arquivo malicioso recebido através do sistema de tickets da empresa. O dispositivo comprometido forneceu aos atacantes acesso aos códigos de inicialização associados a clientes que renovavam certificados de assinatura de código. Esses códigos são usados para ativar os tokens de hardware necessários para assinar software. Ao roubá-los, os atacantes puderam interceptar certificados destinados a clientes legítimos e usá-los para assinar malware que parecia mais credível para os controles de segurança.
Técnica de exploração e malware
A operação contou com uma rota simples, mas eficaz, para entrar em um ambiente sensível. Arquivos maliciosos foram disfarçados como capturas de tela, entregues por e-mails de phishing ou submissões de tickets de suporte, e abertos por funcionários que acreditavam estar revisando conteúdo do cliente. A análise da Expel indica que a atividade foi realizada por um subgrupo do GoldenEyeDog chamado CylindricalCanine.
Os pesquisadores vincularam o grupo ao Golden Gh0st Loader e ao Golden Gh0st RAT, ferramentas de malware que evoluíram através de várias campanhas desde 2015. O Golden Gh0st RAT pode dar aos operadores acesso remoto, coletar credenciais do navegador, capturar capturas de tela, listar processos em execução, executar comandos e apagar rastros de atividade em sistemas infectados. O RAT também suporta persistência, o que significa que pode permanecer ativo após uma reinicialização.
Loader Tactics and Detection
O Golden Gh0st Loader comumente usa DLL sideloading, uma técnica na qual um aplicativo legítimo do Windows é enganado para carregar uma biblioteca maliciosa colocada ao lado dele. A biblioteca então descriptografa e carrega o RAT real de um arquivo que pode ser disfarçado como um arquivo de log. Essa abordagem torna a cadeia de infecção mais difícil de detectar, pois aplicativos confiáveis podem ser usados como parte do processo de execução.
Em campanhas recentes, o loader recuperou arquivos adicionais de locais hospedados na nuvem, incluindo um executável legítimo, arquivos de tempo de execução de suporte, uma DLL maliciosa, uma carga útil criptografada e documentos isca. Uma imagem falsa ou PDF exibindo um erro 503 ajudou a tornar a atividade menos suspeita para as vítimas.
Impacto e alcance
O caso destaca um problema maior para os defensores. Um certificado de assinatura de código válido pode fazer com que um programa malicioso pareça mais confiável para as verificações de segurança do Windows, permitindo que os atacantes ganhem uma vantagem antes que as ferramentas de detecção ou os usuários reconheçam o perigo. Isso compromete a cadeia de suprimentos de software, pois softwares assinados com certificados roubados podem passar por verificações de integridade e segurança sem levantar suspeitas imediatas.
Indicadores de comprometimento (IoCs)
Os analistas observaram o malware usando portas de baixo número 5188 e 5198, o que pode ajudar os defensores a investigar tráfego de saída incomum. Abaixo estão alguns indicadores de comprometimento observados:
- Nome do arquivo: 20241224.exe (Executável de primeira etapa, apresentado como um arquivo com tema de foto)
- URL: hxxps://kkuu.oss-cn-hongkong.aliyuncs.com/ss/uu.txt (Arquivo de configuração usado pelo loader de 2025)
- Nome do arquivo: TASLoginBase.dll (DLL usada para sideloading)
- Hash SHA-256: 1abffe97aafe9916b366da57458a78338598cab9742c2d9e03e4ad0ba11f29bf (Hash para TASLoginBase.dll)
- Domínio e porta: uu.goldeyeuu.io:5188 (Servidor de comando e controle do Golden Gh0st RAT)
- Chave de criptografia: 8A913610E905C3DD1F657811EA3B1933471B230F88E1C155616099A03AB0ABC0 (REGISTERKEY hardcoded do Golden Gh0st RAT)
Recomendações para CISOs
As equipes de segurança devem validar cuidadosamente anexos e links de download submetidos através de portais de suporte, especialmente arquivos apresentados como capturas de tela ou evidências do cliente. O pessoal que lida com tickets deve usar sistemas de revisão isolados, sempre que possível, e verificar arquivos inesperados por um canal separado antes de abri-los. Os defensores também devem vigiar DLLs suspeitas carregadas por aplicativos legítimos, tarefas agendadas inesperadas, novas contas de administrador local e tráfego de saída WebSocket para os domínios listados.