Descoberta e escopo
Pesquisadores da ASEC (AhnLab) identificaram uma campanha em que instaladores falsos disfarçam-se como utilitários populares (Notepad++, 7-Zip, ChatGPT etc.) e, em vez do software esperado, entregam clientes manipulados do LogMeIn Resolve ou instaladores do PDQ Connect que se conectam aos servidores de comando dos atacantes.
Abordagem técnica / Vetor de exploração
O ataque começa com sites que simulam páginas oficiais de download e oferecem arquivos com nomes enganosos como Microsoft.exe, OpenAI.exe e windows12_installer.exe. Ao executar o instalador, o software malicioso estabelece ligação com servidores de controle. ASEC detectou que três operadores distintos usaram identificadores de empresa (company IDs) embutidos nos arquivos de configuração do LogMeIn: 8347338797131280000, 1995653637248070000 e 4586548334491120000.
Após a instalação, os invasores passam a executar comandos remotos (via PowerShell) para baixar e instalar cargas adicionais, incluindo um backdoor chamado PatoRAT. O PatoRAT, desenvolvido em Delphi, contém strings em português no código-fonte, conforme a análise — um dado que aponta possível origem linguística dos autores, mas que por si só não confirma autoria.
Capacidades do backdoor
Segundo o relatório, PatoRAT coleta e transmite informações do sistema (nome do computador, usuário, SO, uso de memória, resolução de tela, janelas ativas) e armazena configurações cifradas por XOR com a chave 0xAA na seção de recursos sob o rótulo "APPCONFIG". O backdoor oferece funcionalidades perigosas: controle do mouse, captura de tela, keylogging, roubo de senhas de navegadores e instalação de ferramentas de port-forwarding.
Impacto e quem é afetado
A técnica explora engenharia social básica (sites de download falsos) e a confiança em ferramentas de gestão remota para manter acesso persistente e difícil de detectar. Organizações e usuários que baixam utilitários fora das fontes oficiais estão em risco imediato. O uso de clientes RMM legítimos manipulados permite que os atacantes atuem com permissões elevadas e contornem certas defesas tradicionais.
Mitigações e recomendações práticas
- Baixar software somente de sites oficiais e verificar certificados digitais dos instaladores antes da execução.
- Monitorar conexões RMM e auditar company IDs/identificadores de configuração quando possível.
- Controlar e restringir a instalação de clientes RMM por políticas de MDM/EDR e listas de software permitidos.
- Registrar e analisar execução de PowerShell e comandos remotos vindos de clientes RMM; bloquear comandos inesperados que puxem binários externos.
- Manter soluções anti-malware e deteção comportamental atualizadas e aplicar mecanismos de EDR que monitorem execução em memória e ações pós-comprometimento.
Limites das informações
O relatório da ASEC detalha os artefatos observados e os identifiers usados, mas não atribui de forma conclusiva a campanha a um ator específico nem informa contagem global de máquinas comprometidas. As strings em português no PatoRAT são mencionadas pela ASEC como indicativas, e não como prova de origem.
O que fazer agora
Equipes de segurança devem inspecionar máquinas recém-instaladas por usuários, verificar tarefas agendadas e entradas de RMM, e buscar indicadores como os company IDs citados. A adoção de controles de download (proxy/reputação), validação de assinaturas digitais e microsegmentação de gestão remota reduz a superfície de ataque explorada por essa campanha.
Fonte: Cyber Security News / ASEC (AhnLab)