O grupo de hacking apoiado pelo estado iraniano MuddyWater, também conhecido como Seedworm, Mango Sandstorm, TA450 e Static Kitten, realizou uma mudança operacional decisiva ao adotar uma plataforma russa de Malware-as-a-Service para impulsionar uma nova campanha contra alvos israelenses. A operação, construída em torno de uma ferramenta anteriormente desconhecida chamada ChainShell, marca uma clara mudança em relação à dependência anterior do grupo em ferramentas desenvolvidas internamente, levantando novas preocupações para organizações em setores críticos em todo o mundo.
Descoberta e escopo da campanha
A análise detalhada da infraestrutura de comando e controle (C2) revelou que a plataforma por trás dessas capacidades pertence ao TAG-150, um grupo cibercriminal de língua russa que opera um serviço modular e multi-inquilino chamado CastleRAT. Analistas da JumpSEC rastrearam a ligação para esta plataforma russa através de um servidor C2 mal configurado, 15 amostras de malware e uma nova carga útil executável do Windows.
No servidor exposto no endereço IP 157.20.182.49, os pesquisadores encontraram comentários de código em persa, juntamente com listas de intervalos de IP israelenses, evidências claras de operadores iranianos mirando sistemas israelenses. A linha do tempo da atividade revela o quão persistente esta campanha tem sido. No início de março de 2026, pesquisadores da Ctrl-Alt-Intel identificaram pela primeira vez o servidor exposto.
Em vez de recuar, o MuddyWater avançou — novos instaladores de entrega foram compilados em 11 de março, malware JavaScript atualizado apareceu em 16 de março e uma nova isca baseada em macro foi vista entrando em contato com a infraestrutura do MuddyWater em 20 de março, confirmando que o grupo permaneceu ativo muito além do ponto de detecção.
Mecanismo de infecção e design de evasão do ChainShell
O elemento mais tecnicamente distinto desta campanha é o ChainShell, um agente baseado em Node.js que resolve seu endereço de comando e controle diretamente de um contrato inteligente Ethereum através de 15 provedores RPC. Ao contrário do malware convencional que depende de domínios fixos ou endereços IP, o local C2 do ChainShell vive na blockchain, tornando o sinkholing ou bloqueio de IP largamente ineficaz contra ele.
O ChainShell chega à máquina de uma vítima através do reset.ps1, um instalador PowerShell encontrado no servidor C2 atribuído ao MuddyWater. O script instala o Node.js, descriptografa AES uma carga útil incorporada e deixa dois arquivos: sysuu2etiprun.js, o agente C2 blockchain, e VfZUSQi6oerKau.js, um componente dropper e instalador.
Uma vez em execução, o agente comunica-se com o C2 através de mensagens WebSocket criptografadas AES-256-CBC, enviando e recebendo JavaScript que executa localmente através de uma chamada new Function(). O que torna o ChainShell difícil de detectar é seu design de shell fino — o agente não carrega nenhum stealer, keylogger ou shell embutido. Todas as capacidades ativas são entregues do servidor em tempo de execução, de modo que a análise estática do arquivo revela pouco sobre o que ele realmente pode fazer.
Impacto e alcance para o setor
O impacto mais amplo desta mudança é sério. Organizações nos setores de defesa, aeroespacial, energia e governo agora enfrentam uma ameaça que combina direcionamento de nível estatal com ferramentas ofensivas desenvolvidas comercialmente. Ao adotar o CastleRAT e o ChainShell, o MuddyWater ganhou capacidades que anteriormente não possuía, incluindo sessões VNC ocultas que permitem aos atacantes controlar uma máquina invisivelmente, descriptografia de cookies do Chrome e um canal de comunicação resistente à blockchain que resiste a esforços tradicionais de derrubada.
O agente também realiza uma verificação de localidade na inicialização e sai imediatamente em sistemas de países da CEI, como Rússia e Ucrânia, uma salvaguarda de desenvolvedor que os pesquisadores avaliam como genuína e não como uma falsa bandeira.
Recomendações para CISOs e equipes de segurança
Organizações expostas a esta campanha devem monitorar tarefas agendadas que correspondam ao padrão de nomeação Virtual{Campaign}Guy{N}, verificar instalações inesperadas do Node.js sob %LOCALAPPDATA%\Nodejs\ e aplicar bloqueios em todos os IOCs de rede documentados. As equipes de segurança também devem evitar assumir a atribuição de cibercrime russo quando artefatos do CastleRAT ou ChainShell surgirem — uma análise adicional das configurações da campanha e da infraestrutura C2 pode apontar para operadores de nível estatal iraniano.
A convergência de capacidades ofensivas comerciais com direcionamento estatal representa uma evolução significativa na ameaça persistente avançada. A adoção de serviços de malware como serviço permite que grupos estatais acessem ferramentas sofisticadas sem o custo e o tempo de desenvolvimento interno, aumentando a velocidade e a sofisticação dos ataques contra infraestruturas críticas.
Implicações regulatórias e de conformidade
Para organizações que operam no Brasil ou lidam com dados sensíveis, este incidente reforça a necessidade de revisão dos controles de segurança de rede e monitoramento de tráfego de saída. A capacidade do ChainShell de usar contratos inteligentes para C2 desafia as ferramentas tradicionais de detecção de ameaças, exigindo uma abordagem mais proativa de inteligência de ameaças e análise comportamental.
A LGPD e outras regulamentações de proteção de dados exigem que as organizações notifiquem incidentes de segurança em prazos específicos. A detecção tardia de campanhas como esta pode resultar em multas significativas e danos à reputação. Portanto, investir em soluções de detecção avançadas e treinamento de equipes de SOC é essencial para mitigar riscos.
Perguntas frequentes
Qual é a principal diferença entre esta campanha e as anteriores do MuddyWater?
A principal diferença é a adoção de ferramentas de Malware-as-a-Service russas, especificamente o CastleRAT e o ChainShell, em vez de ferramentas desenvolvidas internamente. Isso aumenta a sofisticação e a capacidade de evasão da campanha.
Como as organizações podem se proteger contra o ChainShell?
Monitorar tarefas agendadas suspeitas, verificar instalações não autorizadas do Node.js e bloquear IOCs de rede conhecidos são medidas imediatas. Além disso, implementar soluções de detecção comportamental pode ajudar a identificar atividades anômalas.
Qual é o impacto global desta campanha?
A campanha afeta organizações em setores críticos em todo o mundo, especialmente aquelas que lidam com dados sensíveis ou infraestruturas críticas. A capacidade de usar blockchain para C2 torna a detecção e mitigação mais desafiadoras.