Descoberta e escopo
Conforme a investigação relatada, cada ataque começa com um e‑mail que induz a vítima a revisar um documento de inspeção. A mensagem contém um link curto (surl.li) que redireciona para um portal falso hospedado em gfmqvip.vip, cujo visual imita o site legítimo do Income Tax Department of India. A página empurra um arquivo Inspection.zip armazenado em store10.gofile.io.
Vetor e componentes observados
O arquivo Inspection.zip contém três ficheiros principais: um binário assinado da Microsoft Defender renomeado (Inspection Document Review.exe, na realidade o executável SenseCE.exe), uma biblioteca maliciosa MpGear.dll e um arquivo de certificado decoy DMRootCA.crt. Ao executar o programa de "revisão", o Windows carrega MpGear.dll a partir da mesma pasta, uma técnica de DLL side‑loading que permite executar código malicioso dentro de um processo confiável.
Evidências de direcionamento geográfico e evasão
Os analistas da Zscaler observaram que o malware realiza checagens de timezone consultando serviços públicos (timeapi.io e worldtimeapi.org) e prossegue apenas se a zona horária corresponder a regiões do Sul da Ásia, como UTC+5:30. Há também delay de execução — cerca de três minutos e meio — e verificação de processos em execução, medidas consistentes com tentativas de evitar sandboxes e análises automáticas.
Estágio final e persistência
Na etapa seguinte, MpGear.dll contata 8.217.152.225 para baixar um pequeno loader chamado 1bin, instala um agente residente mysetup.exe na raiz C:\ e grava um arquivo de controle (ex.: YTSysConfig.ini) contendo o servidor de comando e controle (ex.: C2=180.178.56.230) e outras flags. A cadeia foi detectada durante caça a tráfego suspeito de surl.li dentro de redes indianas, segundo a Zscaler reportada pelo Cyber Security News.
Impacto e limitações do relatório
O material disponível descreve a técnica de isca (phishing temático), o mecanismo de entrega (Inspection.zip) e o payload observado, incluindo infraestrutura de C2. A reportagem não fornece contagem de vítimas, setores afetados específicos além da referência genérica a "Indian entities", nem evidências de exfiltração de dados ou uso posterior do acesso para ataques adicionais. Também não há, no trecho, menção a mitigações publicadas por fornecedores ou alertas de órgãos nacionais.
Recomendações práticas (baseadas nas evidências publicadas)
- Monitorar e bloquear domínios e IPs indicados quando confirmados internamente (ex.: gfmqvip.vip, store10.gofile.io, 8.217.152.225, 180.178.56.230) após validação do time de segurança;
- Inspecionar logs de download e execução de executáveis assinados fora do repositório de software conhecido;
- Reforçar controles anti‑phishing, validação de links curtos e análise de anexos comprimidos executáveis;
- Examinar sistemas com indicadores similares (presença de MpGear.dll, mysetup.exe, YTSysConfig.ini) e isolar hosts suspeitos.
Observação final
A cadeia técnica e as contramedidas descritas provêm da análise citada pela reportagem que reportou o caso. Falta informação pública sobre o número de vítimas e o impacto operacional; equipes de defesa devem buscar os IOCs completos e comunicações oficiais (por exemplo, relatórios da Zscaler ou avisos de CSIRTs) para ações de contenção e hunting.