⚡ Não perca: notícia importante no ar! ⚡
Não deixe essa passar: clique e saiba tudo!
Apoie esse projeto de divulgacao de noticias! Clique aqui
O grupo de crimes cibernéticos ligado à China conhecido como Silver Fox foi atribuído a um novo trojan de acesso remoto (RAR) baseado em Rust chamado MODBEACON.
A empresa chinesa de segurança cibernética QiAnXin disse que, embora o cluster de ameaças possa parecer uma operação de baixa sofisticação e alta atividade que propaga malware por meio de instaladores falsificados usando técnicas de envenenamento de SEO, ele desmente sua verdadeira estrutura organizacional, que compromete vários distribuidores.
“Esses distribuidores conduzem atividades em toda a Ásia usando instaladores de software falsificados distribuídos por meio de campanhas de SEO, aproveitando variantes das famílias de cavalos de Troia Gh0st RAT e WinOS (ValleyRAT)”, disse QiAnXin.
Uma dessas campanhas observada em meados de Junho de 2026 envolveu um distribuidor que entregou um RAT modular anteriormente não documentado, visando tecnologia, educação e empresas estatais no país. A infraestrutura de comando e controle (C2) solicitada do MODBEACON está hospedada na Amazon e na Content Delivery Network (CDN) da Cloudflare.
O distribuidor é avaliado como um ator de ameaça híbrido, agindo como uma combinação de “traficante de armas cibercriminoso” e “corretor de tráfego”. Um braço das suas operações envolve a expansão da sua pegada de infecção em toda a Ásia através de operações diárias de SEO para negócios fraudulentos, enquanto o outro se concentra na propagação de trojans avançados, ou no aluguer de acesso de alto valor a clientes a jusante, ou no estabelecimento de esquemas "criminosos contra criminosos" visando o setor de jogos de azar cambojano.
A campanha recém-descoberta combina engenharia social, malware personalizado e ferramentas pós-comprometimento para estabelecer acesso de longo prazo e, ao mesmo tempo, minimizar a detecção em hosts infectados. O malware residente na memória funciona como um implante remoto capaz de buscar módulos adicionais, executar comandos do operador e manter comunicações criptografadas com a infraestrutura do invasor.
“O Trojan é uma estrutura C2 profissional e privada: o carregador e o beacon são separados, a configuração é injetável, o beacon emprega uma arquitetura baseada em plugins (plugins v3 nativos com RVA de entrada/init/fini) e usa streaming de túnel gRPC para comunicação”, explicou QiAnXin. "A qualidade geral da engenharia é alta. Seu principal destaque é a reutilização da camada de transporte de uma estrutura de proxy anticensura de código aberto (Xray/V2Ray) como seu canal C2."
Como campanhas anteriores atribuídas ao ecossistema de intrusão Silver Fox, a cadeia de ataque usa domínios falsificados que anunciam instaladores falsos de software doméstico popular como iscas para enganar usuários desavisados para que baixem arquivos ZIP maliciosos responsáveis pela implantação do malware.
Os principais recursos do MODBEACON incluem -
Impressão digital do host
Carregando plugins na memória
Enviando mensagens de pulsação
Relatando os resultados da execução do comando
Configurando persistência usando tarefas agendadas
“Essa capacidade pode ser usada para expansão subsequente sob demanda de roubo de informações, movimento lateral, encaminhamento de proxy ou outras cargas úteis”, disse QiAnXin.
A divulgação ocorre em meio a uma ampliação gradual do arsenal da Silver Fox, que implantou famílias de malware rastreadas como Atlas RAT, ABCDoor, RomulusLoader e SilentRunLoader, indicando que o ator da ameaça está refinando ativamente sua habilidade comercial.
A empresa chinesa de segurança cibernética QiAnXin disse que, embora o cluster de ameaças possa parecer uma operação de baixa sofisticação e alta atividade que propaga malware por meio de instaladores falsificados usando técnicas de envenenamento de SEO, ele desmente sua verdadeira estrutura organizacional, que compromete vários distribuidores.
“Esses distribuidores conduzem atividades em toda a Ásia usando instaladores de software falsificados distribuídos por meio de campanhas de SEO, aproveitando variantes das famílias de cavalos de Troia Gh0st RAT e WinOS (ValleyRAT)”, disse QiAnXin.
Uma dessas campanhas observada em meados de Junho de 2026 envolveu um distribuidor que entregou um RAT modular anteriormente não documentado, visando tecnologia, educação e empresas estatais no país. A infraestrutura de comando e controle (C2) solicitada do MODBEACON está hospedada na Amazon e na Content Delivery Network (CDN) da Cloudflare.
O distribuidor é avaliado como um ator de ameaça híbrido, agindo como uma combinação de “traficante de armas cibercriminoso” e “corretor de tráfego”. Um braço das suas operações envolve a expansão da sua pegada de infecção em toda a Ásia através de operações diárias de SEO para negócios fraudulentos, enquanto o outro se concentra na propagação de trojans avançados, ou no aluguer de acesso de alto valor a clientes a jusante, ou no estabelecimento de esquemas "criminosos contra criminosos" visando o setor de jogos de azar cambojano.
A campanha recém-descoberta combina engenharia social, malware personalizado e ferramentas pós-comprometimento para estabelecer acesso de longo prazo e, ao mesmo tempo, minimizar a detecção em hosts infectados. O malware residente na memória funciona como um implante remoto capaz de buscar módulos adicionais, executar comandos do operador e manter comunicações criptografadas com a infraestrutura do invasor.
“O Trojan é uma estrutura C2 profissional e privada: o carregador e o beacon são separados, a configuração é injetável, o beacon emprega uma arquitetura baseada em plugins (plugins v3 nativos com RVA de entrada/init/fini) e usa streaming de túnel gRPC para comunicação”, explicou QiAnXin. "A qualidade geral da engenharia é alta. Seu principal destaque é a reutilização da camada de transporte de uma estrutura de proxy anticensura de código aberto (Xray/V2Ray) como seu canal C2."
Como campanhas anteriores atribuídas ao ecossistema de intrusão Silver Fox, a cadeia de ataque usa domínios falsificados que anunciam instaladores falsos de software doméstico popular como iscas para enganar usuários desavisados para que baixem arquivos ZIP maliciosos responsáveis pela implantação do malware.
Os principais recursos do MODBEACON incluem -
Impressão digital do host
Carregando plugins na memória
Enviando mensagens de pulsação
Relatando os resultados da execução do comando
Configurando persistência usando tarefas agendadas
“Essa capacidade pode ser usada para expansão subsequente sob demanda de roubo de informações, movimento lateral, encaminhamento de proxy ou outras cargas úteis”, disse QiAnXin.
A divulgação ocorre em meio a uma ampliação gradual do arsenal da Silver Fox, que implantou famílias de malware rastreadas como Atlas RAT, ABCDoor, RomulusLoader e SilentRunLoader, indicando que o ator da ameaça está refinando ativamente sua habilidade comercial.
Fonte: https://thehackernews.com
#samirnews #samir #news #boletimtec #novo #modbeacon #rat #usa #streaming #grpc #para #tráfego #c2 #criptografado
🚀 Mais conteúdos incríveis estão por vir, fique atento!
Postar um comentário