Descoberta e escopo da ameaça
Analistas da ReliaQuest identificaram um novo toolkit de malware para Windows chamado Gryxa, que demonstra como a inteligência artificial pode alterar a economia do cibercrime. O malware é projetado para fornecer acesso remoto, sobreviver a limpezas parciais e roubar senhas armazenadas em navegadores baseados em Chromium.
O que torna o Gryxa particularmente preocupante é sua capacidade de observar as equipes de segurança tentando removê-lo. O malware coleta logs do Windows e artefatos do host, enviando-os para infraestrutura controlada pelo atacante para aprender com as tentativas de resposta.
Construção com IA e automação
A ReliaQuest afirma que o toolkit foi construído substancialmente com um agente de codificação comercial de IA. Registros do repositório mostram metadados de co-autoria de IA na maioria dos commits, sugerindo que um único operador pode gerenciar operações que anteriormente exigiriam uma pequena equipe.
Isso reduz a barreira de entrada para ataques sofisticados, permitindo que criminosos menos experientes construam operações duráveis mais rapidamente. A automação do ciclo de vida do malware permite atualizações rápidas e adaptação às defesas.
Mecanismos de persistência e sobrevivência
O Gryxa sobrevive porque suas partes se restauram mutuamente. Pesquisadores encontraram três tarefas agendadas WinRTCS, quatro tarefas adicionais disfarçadas como entradas do Microsoft, uma subscrição permanente de eventos WMI e uma cópia de backup de arquivo fora da pasta de instalação principal.
Excluir o cliente óbvio ou uma pasta deixa o suficiente para reconstruir o toolkit, às vezes em cerca de um minuto. O operador também usa um console centralizado e processo de atualização para substituir componentes alterados, reduzindo o valor de confiar apenas em um hash de arquivo único.
Retaliação contra a contenção
Remover o acesso na ordem errada pode ativar outra salvaguarda do Gryxa. Seu guardião verifica o relé do ator a cada cinco minutos. Após duas falhas, o toolkit tenta desativar o Microsoft Defender e parar produtos de segurança de endpoint listados; após a terceira, pode recuperar um comando de desinstalação do registro e remover silenciosamente o agente de segurança.
Na prática, cortar apenas o serviço de controle remoto pode iniciar uma contagem regressiva de 10 a 13 minutos antes que a proteção de endpoint seja afetada. Isso suporta pesquisas de ataque assistido por IA focadas em cadeias de comportamento, não apenas em um arquivo malicioso.
Recomendações para resposta a incidentes
A resposta recomendada é bloquear a infraestrutura do ator na borda da rede primeiro. As equipes devem então remover o serviço, todas as tarefas agendadas, a subscrição WMI e todos os diretórios de trabalho juntos, ou reimprimir o host. Devem habilitar a proteção contra desinstalação e evitar implantar uma nova ferramenta de acesso remoto em um sistema vivo.
Organizações devem assumir que todas as credenciais salvas em um perfil de navegador acessível foram expostas se o módulo de credenciais foi executado, então rotacioná-las e revisar o que essas contas poderiam alcançar.
Indicadores de comprometimento (IoCs)
Dominios controlados pelo ator incluem `wirbe[.]com`, `world.wirbe[.]com` e `gryxa[.]com`. Endereços IP incluem `144.172.107[.]56` e `209.145.55[.]189`. O padrão de nome de arquivo `invoice_<10 digits>.exe` é usado para acesso inicial provável.