⚡ Não perca: notícia importante no ar! ⚡
Não deixe essa passar: clique e saiba tudo!
Apoie esse projeto de divulgacao de noticias! Clique aqui
Pesquisadores de segurança cibernética lançaram luz sobre uma estrutura de carregamento baseada em Go, anteriormente não documentada, chamada HollowFrame, e uma família de malware baseada em Rust, rastreada como Matryoshka.
De acordo com a Blackpoint Cyber, a sequência de intrusão começa com uma mensagem de spear-phishing contendo um link para um arquivo criptografado, que contém um atalho do Windows (LNK). A execução do arquivo aciona uma cadeia de vários estágios que envolve escalonamento de privilégios, enfraquecimento das proteções do Microsoft Defender e download de cargas adicionais.
Embora HollowFrame seja iniciado por meio de um par de carregamento lateral de DLL que compreende o binário Python legítimo ("python.exe") e uma DLL não autorizada ("python311.dll"), Matryoshka vem em duas variantes, uma que suporta comunicação baseada em HTTP e execução de comandos, e outra que usa GitHub para comando e controle (C2), incluindo beacon, tarefas, reconhecimento, transferência de arquivos e entrega de carga útil secundária.
“Juntos, HollowFrame e Matryoshka deram ao ator uma base persistente para execução remota de comandos, reconhecimento do Active Directory, transferência de arquivos e implantação de ferramentas de acompanhamento”, disseram os pesquisadores de segurança Nevan Beal e Sam Decker. “Esses recursos poderiam suportar roubo de credenciais, movimentação lateral e comprometimento mais amplo de domínio por meio de ferramentas adicionais fornecidas após o acesso inicial”.
A empresa de segurança cibernética disse que a intrusão em vários estágios teve como alvo dois terminais em um escritório de advocacia não especificado, com o arquivo LNK disfarçado de “documentos de caso” para induzir o destinatário a clicar nele e ativar uma sequência de comando que emprega PowerShell para buscar componentes de próximo estágio de um servidor remoto (“2.26.252[.]84”).
HollowFrame opera como um carregador modular e uma estrutura de persistência que suporta vários métodos para carregar componentes auxiliares, ao mesmo tempo que realiza verificações anti-análise para evitar a execução em ambientes sandbox. Isso é determinado com base no tempo de atividade do sistema, na memória instalada, na contagem de arquivos no perfil do usuário e no movimento do cursor. A persistência é alcançada configurando uma tarefa agendada.
O carregador Go vem incorporado com um contêiner criptografado, que é então descompactado para lançar uma segunda cadeia de carregamento lateral para implantar Matryoshka ("version.dll"), um backdoor baseado em Rust que se comunica com seu servidor C2 ("45.158.196[.]184:8888") sobre HTTP para gerar um shell e fornecer ferramentas adicionais.
Uma segunda DLL ("wtsapi32.dll") recuperada em conexão com a mesma atividade foi sinalizada como uma variante do Matryoshka que faz uso de um repositório GitHub privado ("adioziaete/memio") para pesquisar comandos específicos da vítima, enviar resultados e buscar cargas úteis.
“O repositório funcionava como uma coleção de caixas de correio por host, com cada vítima atribuída a um diretório_ dedicado”, explicou Blackpoint. "Esses diretórios continham beacon.json, cmd.json, result.json e, em alguns casos, uma árvore upload/para entrega de arquivos."
“Essa estrutura permitiu ao operador gerenciar tarefas e resultados para endpoints individuais por meio do GitHub sem manter um servidor de comando personalizado, ao mesmo tempo que deixava um histórico versionado de alterações no repositório, a menos que os commits ou repositórios associados fossem removidos.”
Consultar a API GitHub com o nome de usuário mostra que a conta foi criada em 6 de janeiro de 2023 e que as informações do perfil foram atualizadas recentemente em 7 de junho de 2026. Atualmente não se sabe quem está por trás da atividade.
“Em toda a cadeia, cada estágio reduziu a quantidade de comportamento malicioso visível no estágio anterior”, observou Blackpoint. "Essa separação complicou a atribuição e a detecção porque nenhum componente continha a lógica completa da infecção ou o quadro C2 completo."
De acordo com a Blackpoint Cyber, a sequência de intrusão começa com uma mensagem de spear-phishing contendo um link para um arquivo criptografado, que contém um atalho do Windows (LNK). A execução do arquivo aciona uma cadeia de vários estágios que envolve escalonamento de privilégios, enfraquecimento das proteções do Microsoft Defender e download de cargas adicionais.
Embora HollowFrame seja iniciado por meio de um par de carregamento lateral de DLL que compreende o binário Python legítimo ("python.exe") e uma DLL não autorizada ("python311.dll"), Matryoshka vem em duas variantes, uma que suporta comunicação baseada em HTTP e execução de comandos, e outra que usa GitHub para comando e controle (C2), incluindo beacon, tarefas, reconhecimento, transferência de arquivos e entrega de carga útil secundária.
“Juntos, HollowFrame e Matryoshka deram ao ator uma base persistente para execução remota de comandos, reconhecimento do Active Directory, transferência de arquivos e implantação de ferramentas de acompanhamento”, disseram os pesquisadores de segurança Nevan Beal e Sam Decker. “Esses recursos poderiam suportar roubo de credenciais, movimentação lateral e comprometimento mais amplo de domínio por meio de ferramentas adicionais fornecidas após o acesso inicial”.
A empresa de segurança cibernética disse que a intrusão em vários estágios teve como alvo dois terminais em um escritório de advocacia não especificado, com o arquivo LNK disfarçado de “documentos de caso” para induzir o destinatário a clicar nele e ativar uma sequência de comando que emprega PowerShell para buscar componentes de próximo estágio de um servidor remoto (“2.26.252[.]84”).
HollowFrame opera como um carregador modular e uma estrutura de persistência que suporta vários métodos para carregar componentes auxiliares, ao mesmo tempo que realiza verificações anti-análise para evitar a execução em ambientes sandbox. Isso é determinado com base no tempo de atividade do sistema, na memória instalada, na contagem de arquivos no perfil do usuário e no movimento do cursor. A persistência é alcançada configurando uma tarefa agendada.
O carregador Go vem incorporado com um contêiner criptografado, que é então descompactado para lançar uma segunda cadeia de carregamento lateral para implantar Matryoshka ("version.dll"), um backdoor baseado em Rust que se comunica com seu servidor C2 ("45.158.196[.]184:8888") sobre HTTP para gerar um shell e fornecer ferramentas adicionais.
Uma segunda DLL ("wtsapi32.dll") recuperada em conexão com a mesma atividade foi sinalizada como uma variante do Matryoshka que faz uso de um repositório GitHub privado ("adioziaete/memio") para pesquisar comandos específicos da vítima, enviar resultados e buscar cargas úteis.
“O repositório funcionava como uma coleção de caixas de correio por host, com cada vítima atribuída a um diretório
“Essa estrutura permitiu ao operador gerenciar tarefas e resultados para endpoints individuais por meio do GitHub sem manter um servidor de comando personalizado, ao mesmo tempo que deixava um histórico versionado de alterações no repositório, a menos que os commits ou repositórios associados fossem removidos.”
Consultar a API GitHub com o nome de usuário mostra que a conta foi criada em 6 de janeiro de 2023 e que as informações do perfil foram atualizadas recentemente em 7 de junho de 2026. Atualmente não se sabe quem está por trás da atividade.
“Em toda a cadeia, cada estágio reduziu a quantidade de comportamento malicioso visível no estágio anterior”, observou Blackpoint. "Essa separação complicou a atribuição e a detecção porque nenhum componente continha a lógica completa da infecção ou o quadro C2 completo."
Fonte: https://thehackernews.com
#samirnews #samir #news #boletimtec #hollowframe #loader #implanta #backdoor #matryoshka #em #ataque #de #spearphishing #a #escritório #de #advocacia
🚀 Mais conteúdos incríveis estão por vir, fique atento!
Postar um comentário