Resumo
Pesquisadores mapearam uma campanha que utiliza um loader commodity compartilhado por vários atores para distribuir RATs e info-stealers contra alvos industriais e governamentais. A investigação permitiu reconstruir uma cadeia de quatro estágios que combina phishing, esteganografia e execução em memória.
Descoberta e escopo
Analistas da empresa Cyble identificaram uma operação que entrega um loader commodity como base para campanhas direcionadas contra organizações de manufatura e agências governamentais na Itália, Finlândia e Arábia Saudita. A detecção ocorreu após a análise da segunda etapa da cadeia de execução, o que permitiu mapear o fluxo completo do ataque.
Vetor e exploração
O ataque começa com e-mails de phishing que se passam por comunicações de Purchase Order de parceiros comerciais. Os anexos são variados: documentos Office (referenciando a exploração histórica de CVE-2017-11882), arquivos SVG maliciosos e arquivos ZIP que contêm atalhos LNK. Em testes conduzidos pelos pesquisadores, os artefatos iniciais executavam JavaScript contidos em RAR que, por sua vez, invocavam PowerShell via WMI.
Evasão e técnicas em memória
A campanha aplica múltiplas camadas de ofuscação — base64, manipulação de strings, reversão de texto — e introduz delays (sleep) deliberados para dificultar amostragens em sandboxes. A segunda etapa baixa imagens PNG hospedadas no Archive.org que contêm assemblies .NET encodados por esteganografia; um PowerShell com regex extrai um bloco base64 que é carregado reflectivamente via Reflection.Assembly::Load, evitando gravação em disco.
Trojanização e entrega final
Os atacantes também utilizaram uma versão trojanizada de uma biblioteca open-source legítima (TaskScheduler) hospedada no GitHub: funções maliciosas foram adicionadas ao código e uma nova assembly recompilada preservou a aparência legítima enquanto incorporava capacidades de persistência e injecção de processo. O loader cria processos suspensos via RegAsm.exe, realiza process injection e executa o payload final — identificado como o info‑stealer PureLog, extraído usando Triple DES em CBC com PKCS7 e descompressão GZip.
Evidências e limites da investigação
As conclusões citadas na análise da Cyble baseiam‑se na inspeção das etapas intermediárias do fluxo de execução; contudo, a investigação pública não quantifica o número total de vítimas nem detalha indicadores de comprometimento (IOCs) específicos no material disponível. Também não há atribuição firme a um grupo APT específico — os autores descrevem a infraestrutura como um loader commodity possivelmente compartilhado entre múltiplos atores.
Impacto e alcance
Embora os alvos reportados sejam regionais (Itália, Finlândia, Arábia Saudita) e setoriais (manufatura, governo), o uso de técnicas fileless e bibliotecas trojanizadas eleva o risco de detecção tardia e complica investigações forenses. A reutilização do loader por diferentes grupos sugere potencial para campanhas adicionais sem necessidade de desenvolver uma cadeia de entrega do zero.
Observações para equipes de segurança
- Priorizar detecção comportamental de execução reflectiva e processos suspensos iniciados por RegAsm.exe ou RegAsm-like.
- Investigar downloads de imagens de fontes públicas (ex.: Archive.org) e bloquear ligações externas quando não esperadas.
- Reforçar controles de priviledge e monitoramento de processos PowerShell invocados via WMI.
Fonte: análise publicada por Cyble e divulgada pelo veículo Cyber Security News. Onde dados específicos (números de vítimas, IOCs) não foram publicados, o texto indica explicitamente a ausência dessa informação.