Resumo
Pesquisadores identificaram um backdoor PowerShell denominado TAMECAT que faz parte de campanhas de espionagem atribuídas ao APT42. O malware rouba credenciais armazenadas em Microsoft Edge e Google Chrome, mantém persistência e exfiltra dados por múltiplos canais.
Descoberta e escopo
Relatórios públicos reunidos por pesquisadores indicam que o TAMECAT é usado em operações de espionagem alinhadas ao grupo conhecido como APT42. A análise descreve uma arquitetura modular capaz de extrair credenciais de navegadores, capturar telas, percorrer sistemas de arquivos e manter acesso persistente. O artigo original não fornece números públicos sobre a quantidade total de vítimas identificadas.
Vetor e exploração
O ataque inicia-se por engenharia social: operadores fingem ser contatos confiáveis no WhatsApp e enviam links maliciosos que exploram o manipulador de protocolo search-ms. Após a ativação, um VBScript é baixado para avaliar o ambiente antivírus e escolher um caminho de execução apropriado.
Mecanismos técnicos
- Arquitetura modular: TAMECAT baixa scripts PowerShell adicionais e módulos conforme a necessidade.
- Canal de comando e controle: usa múltiplos vetores, incluindo bots no Telegram, canais no Discord, Firebase e Cloudflare Workers.
- Entrega inicial: arquivos LNK hospedados em servidores WebDAV, mascarados como PDFs, são usados para infectar sistemas.
- Persistência: logon scripts e chaves de registro (run keys) garantem execução contínua.
- Exfiltração: dados são fragmentados por um componente (Runs.dll) e enviados via FTP e HTTPS; tráfego usa AES com chaves pré-definidas, segundo a análise.
Módulo de extração de credenciais
Os mecanismos de roubo de credenciais variam entre navegadores. Para o Microsoft Edge, o malware tira proveito do recurso de remote debugging para ler dados enquanto o navegador está em execução. No caso do Chrome, o processo do navegador é suspenso temporariamente para permitir acesso direto aos bancos de dados locais de credenciais. Essas operações são executadas majoritariamente em memória, reduzindo traços forenses no sistema comprometido.
Evidências, limites e atribuição
Analistas citados no relatório ligam a campanha ao APT42 e descrevem o uso de infraestrutura dispersa (Finlândia, Hong Kong, entre outros pontos para C2). A publicação consultada não quantifica vítimas nem lista setores específicos atacados além de indicar foco em alvos de alto valor, tipicamente oficiais de defesa e governo.
Impacto e recomendações práticas
O uso combinado de técnicas para extrair credenciais de navegadores e comunicação redundante com C2 torna o TAMECAT uma ameaça de alto risco para organizações que dependem de credenciais armazenadas localmente. Considerações imediatas:
- Avaliar logs de autenticação e ferramentas EDR para sinais de suspensão de processos do navegador ou execuções anômalas de scripts PowerShell.
- Revisar políticas de armazenamento de credenciais e considerar mitigação por meio de gerenciadores de credenciais centralizados e MFA robusto onde aplicável.
- Bloquear ou monitorar conexões a infraestruturas conhecidas associadas a este ataque (quando identificadas internamente) e revisar regras de bloqueio para WebDAV público.
Observação: a fonte consultada não divulga um censo de vítimas. Equipes de resposta devem assumir escopo amplo até confirmação contrária.
Repercussão
Além das implicações operacionais, a natureza direcionada e o uso de múltiplos canais de C2 indicam um operador com recursos e disciplina operacional. Organizações em setores de defesa, governo e contratadas por estes devem priorizar análise proativa de indicadores e isolamento rápido de endpoints suspeitos.