Uma campanha ativa de malware, apelidada de PhantomEnigma, abusa de infraestrutura governamental brasileira comprometida para distribuir payloads maliciosos enquanto evade a detecção. A operação sequestrou pelo menos 20 portais municipais e policiais oficiais .gov.br, usando-os como pontos de entrega confiáveis para malware que visa organizações bancárias e do setor público. Os atacantes ganharam acesso a caixas de correio governamentais legítimas, permitindo que e-mails de phishing passem pelas verificações de autenticação SPF, DKIM e DMARC.
Técnicas de entrega e instalação
Vítimas recebem e-mails falsos de "Polícia Civil" ou "Procuração Digital" contendo links para hosts governamentais comprometidos ou domínios falsos com tema policial. Clicar nesses links aciona um instalador Delphi-compiled Inno Setup que implanta silenciosamente um aplicativo Electron modificado, como um aplicativo de anotações Boostnote modificado, escondendo um backdoor index.js malicioso. Uma vez ativado, este backdoor se desofusca, transmite dados do sistema da vítima para um servidor de comando e controle (C2) e estabelece persistência via chave de execução do Windows.
Evolução da ameaça e variantes
Analistas da ANY.RUN identificaram uma geração de beacon anteriormente não documentada durante uma re-detonação ao vivo em 12 de julho de 2026. Ao contrário da variante anterior, que usava uma solicitação GET para um endpoint /laravel.php, a nova versão envia uma solicitação POST para um caminho /nbw/, confirmando que o domínio C2 ao vivo estava recebendo dados roubados. Isso mostra que o PhantomEnigma opera agora pelo menos duas gerações distintas de backdoor simultaneamente.
Abuso de infraestrutura confiável
A campanha usa domínios e endereços IP que rotacionam quase semanalmente, tornando as listas de bloqueio estáticas rapidamente desatualizadas. O abuso de infraestrutura governamental confiável cria riscos, incluindo fraude bancária, exposição de dados sensíveis, interrupção operacional e aumento dos custos de resposta a incidentes. Líderes de segurança devem tratar hosts .gov.br e .jus.br comprometidos de forma diferente da infraestrutura de propriedade de atacantes.
Recomendações para defesa
Combinar análise comportamental em sandbox, caça baseada em YARA para cadeias de construção e feeds de inteligência de ameaças continuamente atualizados oferece proteção mais durável do que depender apenas de domínios individuais ou hashes. A verificação de e-mails de remetentes governamentais e a monitoração de tráfego de saída para domínios suspeitos são essenciais. A segmentação de rede e o controle de acesso rigoroso ajudam a mitigar o risco de movimento lateral.
Perguntas frequentes
- Qual o alvo principal? Organizações bancárias e do setor público no Brasil.
- Como o malware é entregue? Via e-mails de phishing com links para sites .gov.br comprometidos.
- Qual a tecnologia usada? Delphi, Inno Setup, Electron e Node.js.