Um novo trojano de acesso remoto chamado CoreRAT está dando ao grupo de ameaças Core Werewolf uma maneira de assumir o controle de sistemas Windows infectados. O malware apareceu em campanhas observadas de junho a julho de 2026, embora evidências mostrem que tem estado ativo desde pelo menos março. Sua chegada marca uma expansão do kit de ferramentas do grupo.
Técnicas de entrega e disfarce
Os atacantes usaram mensagens de phishing no Telegram para alcançar alvos, confiando em arquivos disfarçados de documentos militares ou governamentais oficiais. Vítimas que abriram os anexos receberam um PDF isca enquanto um programa oculto instalava o malware. A operação acredita-se ter focado no setor público russo e na indústria de defesa.
Analistas da BI.ZONE identificaram a ferramenta anteriormente não documentada e disseram que ela substituiu o uso anterior do grupo de software de acesso remoto legítimo UltraVNC. Essa mudança importa porque malware personalizado pode ser alterado rapidamente, tornar-se mais difícil de detectar e adaptar às necessidades dos atacantes.
O Core Werewolf usou dois programas de entrega, incluindo um arquivo compactado auto-extraível 7z e um dropper baseado em Rust. Ambos plantaram uma isca junto com o payload, ajudando o ataque a parecer inofensivo quando começa.
Capacidades técnicas do CoreRAT
O CoreRAT é escrito em C++ e criptografa seu texto interno e endereços de comando e controle. Antes de executar, ele procura sinais de que está dentro de uma máquina de teste virtual, verificando detalhes do sistema, atividade recente de atalho e identificadores de adaptador de rede. Se suspeitar de análise, ele desliga em vez de revelar seu comportamento.
Em uma máquina de vítima real, o malware coleta o nome do computador, dados de BIOS, processos em execução, arquivos de desktop e informações de adaptador de rede. Ele empacota os resultados, codifica-os e os envia por HTTPS para seu servidor de comando. Isso dá aos operadores uma imagem inicial do sistema e de seu provável valor para os atacantes.
A ferramenta pode listar pastas, inspecionar processos, coletar configuração de rede e dados ARP, e revisar conexões TCP ativas. Além disso, pode executar um comando ou processo fornecido, baixar arquivos adicionais, descriptografá-los e lançá-los. Isso significa que uma infecção bem-sucedida pode se tornar um ponto de partida para roubo, vigilância ou intrusão mais ampla.
Indicadores de comprometimento (IoCs)
Os analistas forneceram diversos indicadores para detecção, incluindo hashes SHA-256 para amostras de dropper e payload, nomes de arquivos maliciosos usados para entrega e infraestrutura de comando e controle. Alguns exemplos incluem nomes de arquivo como Firepoin.exe, Baresl.exe e brhost.exe.
Domínios de C2 observados incluem teambusiness-mail[.]ru, xakklinkprik[.]ru e dezinsekciya-top[.]ru. Endereços IP associados incluem 185.102.139[.]30 e 130.49.181[.]212. Equipes de segurança devem bloquear esses indicadores em firewalls e sistemas de prevenção de intrusão.
Recomendações de resposta
Organizações devem tratar arquivos de documento inesperados, especialmente executáveis feitos para parecerem avisos oficiais, como potenciais ameaças. Equipes de segurança devem bloquear indicadores de rede, monitorar endpoints para nomes de arquivo e hashes, e investigar tráfego HTTPS de saída inexplicável.
A conscientização do usuário permanece importante. Detecção rápida e contenção são centrais para limitar danos. Equipes devem isolar dispositivos afetados, redefinir credenciais onde a exposição é possível, revisar hosts próximos para os mesmos indicadores e reter artefatos para análise.