Pesquisadores expuseram um backdoor denominado PDFSIDER que tem sido usado por atores sofisticados como carregador de payloads, usando técnicas que dificultam a detecção por antivírus e EDR. A descoberta foi detalhada por Cyber Security News com base na investigação da Resecurity.
Descoberta e método de entrega
Conforme a apuração, a campanha emprega spear phishing focado. Vítimas recebem um arquivo ZIP contendo um executável legítimo do PDF24 Creator assinado e arquivos acompanhantes. Quando o usuário executa o programa aparentemente legítimo, um payload oculto é acionado em vez do visualizador esperado.
Vetor técnico: DLL sideloading e execução em memória
A análise indica que os invasores colocam uma DLL maliciosa chamada cryptbase.dll na mesma pasta do executável trojanizado. Essa biblioteca abusava do mecanismo de DLL sideloading para ser carregada em lugar da versão legítima do sistema. Uma vez carregado, o backdoor inicializa Winsock, coleta informações do sistema, gera um identificador de host e mantém um loop de backdoor em memória.
Capacidades e evasão
- Operação essencialmente em memória, evitando gravação em disco.
- Verificações anti-análise: checagem de máquinas virtuais e depuradores.
- Criação de pipes anônimos e execução de cmd.exe com CREATE_NO_WINDOW para rodar comandos sem janela visível.
- Comunicação com C2 cifrada usando AES‑256‑GCM via biblioteca Botan, trafegando por DNS (porta 53), o que reduz o ruído em sistemas de detecção.
Observações sobre impacto
A Resecurity identificou o PDFSIDER durante uma tentativa de intrusão contra uma empresa da lista Fortune 100 que foi interrompida sem perda de dados, segundo o relato. A investigação também aponta que múltiplos grupos de ransomware e atores avançados já utilizam o PDFSIDER como um carregador confiável que contorna controles padrão.
Implicações para defesa
Ferramentas de proteção baseadas em assinaturas e sandboxes podem falhar diante de uma cadeia que combina um binário legítimo assinado, DLL sideloading e tráfego cifrado via DNS. Equipes de segurança devem complementar assinaturas com detecção baseada em comportamento: monitoramento de criação de processos anômalos, observabilidade de chamadas de DNS atípicas, verificação de DLLs na pasta de aplicações e análise de execução em memória por EDR com detecção heurística.
O que não foi divulgado
A cobertura não traz indicativos públicos sobre indicadores de comprometimento (IoCs) específicos ou hashes usados na campanha no momento da reportagem; tampouco lista versões do PDF24 Creator envolvidas. Essas informações são necessárias para a efetiva caça a ameaças e remediação.