Visão geral da ameaça semanal
A telemetria de ameaças da semana de 20 a 26 de julho de 2026, coletada pelo sandbox interativo ANY.RUN, revela um cenário de ataque dominado por malwares de roubo de credenciais e acesso remoto. Vidar, AsyncRAT e XWorm mantiveram-se como as três famílias de malware mais carregadas para análise por equipes de segurança, contabilizando centenas de detonações de sandbox enquanto defensores tentavam triar intrusões impulsionadas por phishing.
A classificação reflete o upload total de amostras para um sandbox público de análise de malware e captura as ferramentas que equipes de red team, analistas de SOC e caçadores de ameaças encontram com mais frequência em operação. A lista é dominada por infostealers (Vidar, Stealc, Lumma) e Remote Access Trojans (RATs) (AsyncRAT, XWorm, Remcos, Quasar), refletindo a continuaçao da commoditização de ofertas de Malware-as-a-Service (MaaS) vendidas em fóruns subterrâneos.
Principais famílias de malware e perfis técnicos
Vidar Stealer liderou as estatísticas com 235 uploads totais, apesar de uma queda semanal de 47 amostras. O Vidar é um infostealer baseado em Arkei que opera como MaaS, coletando credenciais de navegador, cookies, dados de autenticação de dois fatores, configurações do Tor Browser e carteiras de criptomoedas. Campanhas recentes em 2026 mostram o Vidar entregue via malvertising levando a downloads de software pirata falso e via repositórios GitHub trojanizados disfarçados de ferramentas de desenvolvedor legítimas.
AsyncRAT seguiu de perto com 214 uploads (queda de 60). É um Trojan de Acesso Remoto de código aberto amplamente abusado que fornece execução remota de comandos, exfiltração de dados e vigilância oculta de sistemas Windows. Campanhas atuais abusam de infraestrutura legítima como links do Dropbox e tunéis TryCloudflare, empregando uma cadeia de múltiplos estágios começando com um arquivo LNK, seguido por scripts JS e BAT que implantam carregadores baseados em Python.
XWorm registrou 205 uploads com um aumento semanal raro de 13 amostras, sinalizando atividade de campanha renovada. O XWorm é um RAT modular vendido através de canais MaaS desde 2022, oferecendo roubo de credenciais, keylogging, acesso à webcam, DDoS e plugins de implantação de ransomware. A cadeia de infecção de 2026 começa com e-mails de phishing contendo anexos ZIP, extraindo um carregador JavaScript malicioso que estabelece persistência na inicialização e recupera um DLL codificado em Base64 anexado a um JPEG.
Vetores de infecção e binários Living-off-the-Land
O phishing permanece como o denominador comum dominante em todas as dez famílias, mas as técnicas específicas de isca e staging de payload variam significativamente. A tabela abaixo resume os vetores observados:
- E-mail de phishing com anexo ZIP/RAR: AsyncRAT, XWorm, Remcos, Formbook.
- Documento Office malicioso (macro/exploit): AgentTesla, Quasar, Formbook, Snake Keylogger.
- Malvertising / software pirata falso: Vidar, Stealc, Lumma.
- Repositórios GitHub trojanizados: Vidar, Lumma.
- Fake CAPTCHA / execução PowerShell ClickFix: Lumma, DonutLoader.
Além disso, os atores de ameaça favorecem cada vez mais utilitários Windows legítimos e assinados (LOLBins) para misturar atividade maliciosa no ruído normal do sistema. O MSBuild.exe é abusado pelo XWorm e Remcos para injeção reflexiva de DLL. O PowerShell é usado em cadeias ClickFix para decodificação e execução de payload. O explorer.exe é alvo de injeção de código em campanhas do AsyncRAT.
Indústrias e regiões afetadas
O setor de educação e serviços profissionais na América Latina (Colômbia, Brasil) e nos EUA são os mais visados pelo Remcos. O setor de aeroespacial e contratantes de defesa nos EUA e Coreia do Sul foram desproporcionalmente visados pelo Formbook. Pequenas e médias empresas e usuários consumidores são alvos de Vidar, Lumma e Stealc através de malvertising e software pirata.
Vulnerabilidades exploradas (CVEs)
Além das técnicas de engenharia social, várias vulnerabilidades documentadas são exploradas:
- CVE-2017-11882: Estouro de buffer no Editor de Equações da Microsoft (RCE) explorado por AgentTesla e Formbook.
- CVE-2017-8570: RCE no Microsoft Office via objeto OLE explorado por AgentTesla.
- CVE-2018-0802: Corrupção de memória no Editor de Equações do Excel explorado por XWorm.
- CVE-2025-8088: Travessia de caminho no WinRAR levando a execução arbitrária de código explorado por XWorm.
Recomendações defensivas para CISOs
Diante da predominância de phishing e abuso de técnicas Living-off-the-Land, os defensores devem priorizar controles em camadas:
- Implementar filtragem de anexos de e-mail que bloqueie ou arene ZIP, RAR, ISO, LNK e JS/VBS/HTA por padrão.
- Aplicar patches no Microsoft Office e WinRAR imediatamente para fechar as CVEs listadas acima.
- Monitorar linhagens de processo anômalas, como PowerShell spawnando MSBuild.exe ou Aspnet_compiler.exe.
- Implementar monitoramento DNS para provedores de Dynamic DNS (DuckDNS, ydns.eu) e subdomínios TryCloudflare.
- Restringir execução de scripts de %APPDATA%, %TEMP% e pastas de inicialização via AppLocker.
- Implementar MFA universalmente para mitigar o impacto do roubo de credenciais.
Indicadores de Comprometimento (IOCs)
Hashes e domínios maliciosos foram identificados para várias famílias. Exemplos incluem o domínio kolanga[.]cc para XWorm e canndelta[.]com para DonutLoader. Endereços IP de C2 incluem 204.10.160.190 para XWorm e 107.172.139.23 para Remcos. As equipes de SOC devem integrar esses IOCs em suas plataformas de inteligência de ameaças e SIEMs imediatamente.