Descoberta e cronologia
Segundo a apuração, o acesso inicial adversário ocorreu em um incidente a nível de provedor de hospedagem entre junho e setembro de 2025, permitindo persistência em serviços internos até dezembro de 2025. Os invasores mantiveram e rotacionaram infraestrutura de comando e controle, downloaders e cargas finais entre julho e outubro de 2025, o que dificultou detecção.
Escopo e vítimas conhecidas
O mecanismo de atualização comprometido distribuiu instaladores maliciosos que atingiram cerca de uma dezena de máquinas pertencentes a indivíduos no Vietnã, El Salvador e Austrália, além de organizações nas Filipinas e um provedor de serviços de TI no Vietnã. O alcance não parece ter sido massivo, mas o componente de cadeia de suprimentos e o período de persistência elevam o risco estratégico para ecossistemas de desenvolvimento.
Vetores e artefatos técnicos
- Foram identificadas três cadeias de infecção distintas pelos analistas do Securelist, com variações técnicas e técnicas de evasão.
- Os atacantes distribuíram um instalador NSIS malicioso via mecanismo de atualização legítimo; quando executado pelo processo de atualização do Notepad++, o arquivo update.exe coletava informações de reconhecimento e as enviava para servidores controlados pelos adversários usando o serviço de hospedagem temp.sh.
- Frameworks observados incluem downloaders baseados em Metasploit, cargas Cobalt Strike Beacon e, em estágios posteriores, um backdoor customizado identificado como Chrysalis.
- Em vez de técnicas modernas de DLL sideloading, os atacantes exploraram uma vulnerabilidade antiga no software ProShow (da década de 2010) como vetor de execução — uma escolha técnica pensada para evitar detecções que focalizam vetores contemporâneos.
Detecção e indicadores
Os pesquisadores apontaram sinais práticos para detecção em ambientes Windows:
- Checar por criação do diretório %localappdata%\Temp\ns.tmp, associada a implantações do instalador NSIS;
- Inspecionar resoluções DNS e tráfego para domínios ligados ao serviço temp.sh;
- Procurar logs de execução de comandos de reconhecimento (whoami, tasklist, systeminfo, netstat) e monitorar modificações comportamentais em autoruns de registro.
Mitigação e contexto operacional
Kaspersky informou que suas soluções bloquearam as variantes observadas durante a campanha. Para defender-se de ataques similares, as práticas recomendadas incluem:
- Verificação da integridade e assinatura de componentes de atualização; segmentação de processos de update em ambientes com menor privilégio;
- Monitoramento de telemetria de endpoints para comandos de reconhecimento e conexões a serviços de hosting usados para exfiltração;
- Revisão de fornecedores de hospedagem e controles de acesso administrativos que possam ser vetores secundários de comprometimento.
Considerações finais
Embora o número de máquinas afetadas informado seja limitado, o uso de um mecanismo legítimo de atualização como vetor é um lembrete crítico: compromissos em fornecedores e provedores de infraestrutura podem permitir distribuição direcionada e persistente de cargas maliciosas. Organizações com cadeias de software dependentes de atualizadores terceirizados devem priorizar verificação de integridade, monitoramento comportamental e coordenação com fornecedores para reduzir vetores de supply chain.