José Carlos Tecnologia e Cibersegurança

15/08/2026

12/08/2026

Pesquisador lança novo PoC de dia zero do Windows horas após o patch da Microsoft na terça-feira.

Por : In BoT_SeC

Pesquisador de segurança Eclipse Caótico (também conhecido como Pesadelo-Eclipse) tem lançado um novo exploit de prova de conceito (PoC) chamado LegacyHive.

Foi descrito como uma vulnerabilidade arbitrária de elevação de privilégios de carga de colmeia do Serviço de Perfil de Usuário do Windows.

O Windows User Profile Service, também conhecido como ProfSvc, é um componente central do sistema que gerencia contas e ambientes de usuários.

"O PoC requer outra credencial de usuário padrão e um terceiro nome de usuário (que pode ser uma conta de administrador)", Chaotic Eclipse disse. "Se o PoC for bem-sucedido, ele acabará m***ando a colmeia do usuário alvo na raiz das classes de usuário atuais."

O pesquisador disse que o exploit foi simplificado para evitar exploração pública, acrescentando que o exploit original não exigia credenciais de usuário adicionais e não estava limitado ao hive "usrclass.dat".

"Qualquer colmeia poderia ser carregada usando essa vulnerabilidade, mas seriam necessárias algumas células cerebrais para fazer o PoC fazer isso", observou o pesquisador.

O que o torna notável é que ele funciona em todas as versões de desktop e servidor suportadas do Windows, incluindo aquelas que executam a última atualização do Patch Tuesday de julho de 2026.

Chaotic Eclipse e Microsoft foram preso em uma disputa acalorada desde pelo menos abril de 2026, com o pesquisador divulgando detalhes de vários exploits antes que o criador do Windows tivesse a chance de corrigi-los, citando uma falha na comunicação.

Três das vulnerabilidades do Microsoft Defender foram exploradas ativamente logo após a divulgação pública.

No início deste mês, a gigante da tecnologia divulgou atualizações de segurança para outra vulnerabilidade do Defender conhecida como RoguePlanet, que foi divulgada pelo pesquisador. No entanto, descobriu-se que as recém-introduzidas "atualizações detalhadas de defesa" para resolver a falha podem fazer com que o Microsoft Defender vaze 8 bytes de dados ao tentar abrir um arquivo em determinados cenários.

Microsoft contado O Hacker News diz que está investigando o novo relatório.

Quando contatado para comentar, um porta-voz da Microsoft disse que está investigando a vulnerabilidade mais recente e que está comprometida em atualizar os produtos afetados para proteger os clientes.

"A Microsoft está ciente da vulnerabilidade relatada e está investigando ativamente a validade e a potencial aplicabilidade dessas alegações", disse o porta-voz.

"A Microsoft está comprometida em investigar problemas de segurança e atualizar os produtos afetados para proteger os clientes o mais rápido possível.

É importante ressaltar que apoiamos divulgação coordenada de vulnerabilidades, um padrão da indústria que protege os clientes e apoia a comunidade de pesquisa, garantindo que suas descobertas sejam minuciosamente investigadas e abordadas antes de serem tornadas públicas."

Falhas do servidor SharePoint em destaque

O desenvolvimento ocorre no momento em que a Microsoft envia patches para um recorde de 622 falhas, incluindo duas deficiências de escalonamento de privilégios no SharePoint Server (CVE-2026-56164, pontuação CVSS: 5,3) e no Active Directory Federation Services (CVE-2026-56155, pontuação CVSS: 7,8) que foram sinalizadas como exploradas ativamente.

Os EUA A Agência de Segurança Cibernética e de Infraestrutura (CISA) tem adicionado ambas as vulnerabilidades às suas Vulnerabilidades Exploradas Conhecidas (KEV) catálogo, que determina que as agências do Poder Executivo Civil Federal (FCEB) apliquem as correções até 17 e 28 de julho de 2026, respectivamente.

"Após anos de relativa estabilidade, o processo Patch Tuesday passou por turbulências significativas até agora em 2026", disse Adam Barnett, engenheiro-chefe de software da Rapid7, em um comunicado.

"Além do crescimento exponencial de relatórios e descobertas de vulnerabilidades impulsionado pela IA, a Microsoft está lidando com o surgimento de uma série de vulnerabilidades divulgadas de forma a trazer o máximo de desconforto para Redmond."

Num comunicado separado, a agência disse está ciente da exploração ativa de várias falhas do SharePoint Server, incluindo CVE-2026-32201, CVE-2026-45659, e CVE-2026-56164, que permitem que agentes de ameaças cibernéticas obtenham acesso não autorizado a instâncias suscetíveis.

"Essas vulnerabilidades afetam todas as versões locais suportadas do SharePoint Server (Subscription Edition, 2019 e 2016) e envolvem o estabelecimento de execução remota de código (RCE) e atividades pós-exploração, como roubar chaves de máquina do Internet Information Services (IIS) e executar técnicas de desserialização, para obter persistência e implantar malware", disse a CISA.

"A falha decorre da falta de autenticação para uma função crítica, permitindo que um invasor alcance funcionalidades que deveriam exigir autorização", disse Alex Vovk, CEO e cofundador da Action1, sobre o CVE-2026-56164.

"Um invasor pode enviar solicitações de rede especialmente criadas para acessar funcionalidades que devem exigir autenticação, resultando em escalonamento de privilégios. A vulnerabilidade afeta principalmente a integridade do sistema ao permitir ações não autorizadas sem exigir autenticação prévia ou interação do usuário.

Os servidores SharePoint voltados para a Internet estão particularmente expostos porque o ataque pode ser realizado remotamente sem credenciais válidas."

Vale ressaltar que a atualização de julho de 2026 também aborda outra vulnerabilidade crítica de desvio de recurso de segurança do SharePoint Server (CVE-2026-55040, Pontuação CVSS: 9,1) que um invasor remoto não autenticado poderia explorar para ignorar a autenticação em um servidor SharePoint vulnerável e executar operações como usuário ou administrador do site SharePoint.

"A vulnerabilidade se deve a vários problemas no pipeline de validação de tokens JWT", Rapid7 disse. "Um invasor que explora com sucesso o CVE-2026-55040 pode executar operações no site do SharePoint de destino como o usuário com o qual ele se identifica.

Além disso, esse desvio de autenticação pode ser encadeado a vulnerabilidades adicionais na superfície de ataque autenticada do site de destino."

Mais detalhes sobre LegacyHive Emerge

Em um postar no Mastodon, o pesquisador Kevin Beaumont disse que o exploit LegacyHive funciona e não foi corrigido.

O pesquisador de segurança Will Dormann disse que o LegacyHive concede a um usuário não administrador a capacidade de modificar o hive de registro de classes de um usuário administrador, chamando-o de "primitivo bastante poderoso"

"Por exemplo, como novidade, podemos associar arquivos .txt para abrir com calc.exe", disse o pesquisador adicionado.

"Atacantes inteligentes ou pessoas que desejam realizar algo serão facilmente capazes de descobrir como fazer coisas que são mais interessantes e/ou nem exigem interação do usuário."

O ThreatLocker disse que o PoC m***a o hive UsrClass.dat de um usuário alvo com acesso de leitura em outra conta de usuário, o que fornece acesso a uma ampla gama de dados de aplicativos, histórico do Windows Explorer e artefatos forenses.

"Conforme abordado no projeto README, o impacto final deste PoC não é imediatamente explorável e não revela diretamente hashes de senha ou permite a execução privilegiada de código em si, mas destaca a vulnerabilidade claramente: a resolução de caminho por meio do Gerenciador de Objetos pode ser abusada para carregar colmeias de administradores como um usuário não privilegiado", disse a empresa de segurança cibernética disse.

Em uma análise de acompanhamento, a Cyderes Howler Cell descreveu o LegacyHive como um abuso da lógica de carregamento de perfil que faz com que o Windows carregue um hive UsrClass.dat não intencional no namespace HKU\_Classes de um usuário diferente. Também destacou que o PoC lançado requer credenciais válidas para um segundo usuário local e o nome de usuário de uma conta de destino.

Toda a sequência de ações empreendidas pelo PoC é a seguinte -

Valide os argumentos de linha de comando fornecidos pelo operador: o nome de usuário e a senha da conta de baixo privilégio e o nome de usuário da conta de destino.

Configure o diretório de trabalho, o namespace do Gerenciador de Objetos e os links simbólicos usados para redirecionar os caminhos do perfil do Windows.

Autentique-se como usuário com poucos privilégios e modifique o NTUSER.dat offline para redirecionar o Local AppData para o caminho controlado pelo invasor.

Copie o UsrClass.dat do usuário de destino e acione uma condição de corrida para sincronizar o carregamento do perfil enquanto o thread auxiliar inicia o processo do usuário de destino.

Carregue o UsrClass.dat do usuário alvo no HKU\_Classes.
Valide se o UsrClass.dat redirecionado é carregado acessando HKU\_Classes.

"A técnica encadeia três mecanismos: modificação offline de uma colmeia de registro, redirecionamento de link simbólico do Gerenciador de Objetos e carga de perfil sincronizada.

Juntos, eles direcionam o caminho de carregamento do perfil para uma colmeia que o invasor controla", controlam os pesquisadores de segurança Reegun Jayapaul e Baskar M disse.

"O resultado é o redirecionamento da colmeia entre usuários.

O UsrClass.dat de um usuário alvo acaba m***ado dentro do namespace de registro de um usuário com poucos privilégios, dando a esse usuário acesso a dados de registro que deveriam estar fora de alcance."

Com o lançamento do LegacyHive, o Chaotic

Eclipse lançou nove exploits do Windows sem divulgação coordenada: BlueHammer, UnDefend, RedSun, RoguePlanet, YellowKey, GreatXML, GreenPlasma e MiniPlasma.

"O NightmareEclipse lançou nove ferramentas em três meses, todas voltadas para um recurso no qual a Microsoft diz aos clientes para confiarem: Defender, BitLocker, CTFMON", disse Brian Hussey, vice-presidente sênior de serviços de células Howler da Cyderes, em uma declaração compartilhada com o The Hacker News.

"Esse padrão parece um operador construindo um kit de ferramentas, não um pesquisador publicando relatórios de bugs."

"LegacyHive não invade de fora.*

Ele foi criado para a pessoa que já está sentada na máquina ao lado da sua, e isso o torna um tipo de problema diferente dos bugs de escalonamento de privilégios que normalmente vemos. Não há patch para LegacyHive hoje.

A detecção é a defesa. Uma assinatura de plataforma captura o exploit finalizado para o qual foi escrita. Ele não captura um primitivo que ainda não tenha sido conectado a um, e fechar essa lacuna é para isso que a caça às ameaças foi criada."

Fonte: https://www.facebook.com/share/p/1BrStukwGi/

11/08/2026

↪️⌨️ **LabubaRAT se disfarça de software da NVIDIA para controlar hosts Windows.*

Por: In BoT_SeC

Pesquisadores de segurança cibernética identificaram um trojan de acesso remoto (RAT) baseado em Rust, com o codinome LabubaRAT, até então não documentado , que se disfarça de software da NVIDIA para se infiltrar em ambientes-alvo.

"O LabubaRAT cria um ponto de apoio reutilizável para atividades práticas", afirmaram os pesquisadores da Blackpoint Cyber, Sam Decker e Nevan Beal , em uma análise publicada hoje. "Uma vez implantado, ele pode criar perfis do host, identificar ferramentas de segurança, receber comandos do operador, mover arquivos, capturar screenshots e encaminhar o tráfego pelo sistema afetado."

O implante também suporta múltiplos métodos de comunicação, incluindo HTTPS, WebView2 e tunelamento DNS, permitindo que os atacantes mantenham o acesso a hosts comprometidos mesmo que uma das vias seja detectada e bloqueada. Há indícios de que o LabubuRAT esteja sendo oferecido sob um modelo de malware como serviço (MaaS).

O ponto de partida da cadeia de ataque é um executável chamado "nvidia-sysruntime.exe", que se faz passar pelo kit de ferramentas de tempo de execução de contêineres da NVIDIA. A amostra, em vez de codificar suas informações de comando e controle (C2) diretamente no código, aceita uma configuração de tempo de execução por meio de argumentos de linha de comando.

Isso permite que o operador da campanha defina vários parâmetros essenciais para estabelecer a comunicação com o servidor remoto, incluindo os detalhes do servidor ("pipicka[.]xyz") e o intervalo de sondagem usado pelo implante. Alternativamente, o atacante também pode fornecer esses valores individuais na forma de um único argumento codificado em Base64.

"Como esses valores foram fornecidos no lançamento, o mesmo binário compilado pôde ser reutilizado com diferentes infraestruturas, organizações ou agrupamentos de campanhas, em vez de depender de um servidor com valores predefinidos", observaram os pesquisadores.

A configuração é então armazenada em um banco de dados SQLite local, após o qual são realizadas operações de descoberta para inventariar a lista de navegadores da web e produtos de segurança instalados no host, verificando especificamente a presença de Google Chrome, Mozilla Firefox, Microsoft Edge,

Brave, Microsoft Defender, CrowdStrike, SentinelOne, Carbon Black, Sophos, Malwarebytes, Bitdefender, ESET, Kaspersky, McAfee, Symantec e Trend Micro.

Além disso, ele coleta o nome do host, o tamanho da RAM, o modelo da CPU e o estado do Controle de Conta de Usuário (UAC) do Windows como forma de preparar o ambiente para a próxima etapa, já que algumas funcionalidades do RAT podem ser ditadas pelas ferramentas de segurança presentes no sistema.

Uma vez iniciado, o LabubaRAT suporta uma ampla gama de funções, como execução de comandos, execução de PowerShell, execução de JavaScript, captura de tela, upload e download de arquivos, manipulação de arquivos compactados e suporte a proxy SOCKS5.

"Essas funcionalidades deram ao operador controle suficiente para interagir com o host, mover arquivos para dentro e para fora do ambiente, rotear o tráfego pelo sistema e manter o acesso sem depender de um carregador separado ou de uma ferramenta complementar com escopo limitado", disse a Blackpoint Cyber.

O malware faz referência ao título "LabubaPanel" associado à sua infraestrutura de comando e controle (C2) e a um favicon com tema Labubu.

"A amostra combinava configuração de tempo de execução, estado local, perfil do host, múltiplos caminhos de comunicação e atribuição de tarefas ao operador em uma ferramenta completa de acesso remoto", disse a Blackpoint Cyber. "

O malware fornecia ao operador uma maneira prática de cadastrar hosts, entender o ambiente ao redor de cada agente, executar comandos, mover arquivos, capturar screenshots, encaminhar tráfego e manter a inicialização automática em nível de usuário."

"A marca LabubaPanel forneceu a pista de nomenclatura externa mais clara, mas a descoberta mais importante é a estrutura semelhante a um framework por trás dela: um RAT baseado em Rust, criado para ser configurado, registrado e operado em múltiplas implantações."

Fonte: https://www.facebook.com/share/p/18QrvrGGco/

11/08/2026

🔴 AULA AO VIVO | Hoje às 19:45

Tema da LIVE: Principais LOGS do Linux

Se você tem interesse em se tornar um Especialista Linux e alavancar a sua carreira no mercado de TI, essa aula é para você.

Acesse agora o link abaixo e clique em "Receber notificação" para ser avisado quando a aula começar:

👇👇👇

https://youtube.com/live/qcI5PT3T5_w

11/08/2026

*Começa hoje nossa Formação Integrada em Gestão de Riscos de Segurança da Informação!*

Serão 7 aulas para você compreender, na prática, a aplicação de duas das principais referências em gestão de riscos de Segurança da Informação:
* *NIST RMF (Risk Management Framework)*, amplamente utilizado nos Estados Unidos.
* *ISO/IEC 27005*, uma das principais referências para gestão de riscos de Segurança da Informação no Brasil e na Europa.

Ao final da formação, você poderá realizar *duas provas*, uma referente ao NIST RMF e outra à ISO/IEC 27005.

*Esta será a última turma do ano.* A formação também pode ser aproveitada como *disciplina do MBA em Gestão de Segurança da Informação* da TIEXAMES.

Garanta @⁨todos⁩ a sua vaga abaixo:
https://tiexames.com.br/cursos/curso_RMF.php

ISO/IEC 27017:2026 - CONHEÇA A NOVA NORMA DA CONTROLES DE SEGURANÇA PARA SERVIÇOS DE CLOUD*

* A aula inicia às 19h15 com Prof. François Martinot
* Duração prevista de mais de 2 horas
* O link do certificado será liberado somente no chat do Zoom durante a aula

Para participar desta aula, acessa a sala do Zoom abaixo:
https://us02web.zoom.us/j/86859996825?pwd=kPJf1Kta4VtnKBUp75uh4UoIQ3mUAf.1

ID da reunião: 868 5999 6825
Senha: 690730

07/08/2026

Ataque a laser redefine senhas de carteiras Tangem em cartões que não podem ser corrigidos.

Por: In BoT_SeC

Pesquisadores da equipe de segurança Donjon da Ledger demonstraram que um pulso de laser precisamente cronometrado, direcionado ao chip dentro de um cartão de carteira criptográfica Tangem , pode redefinir a senha do cartão para qualquer coisa escolhida pelo invasor.

Sem senha antiga. Sem cartão de backup. Uma vez redefinida, quem a redefiniu controla a carteira e pode transferir as moedas.

Para a maioria dos proprietários, isso não é uma emergência. O ataque exige o cartão físico em mãos e um laboratório que, segundo Donjon, custa cerca de US$ 250.000. Também significa abrir o cartão, o que deixa danos visíveis.

Não é possível fazer isso pela internet e não há correção prevista: os cartões Tangem não aceitam atualizações de software, portanto, todos os cartões já vendidos apresentam a falha.

O único grupo que deve agir agora é qualquer pessoa cujo cartão tenha sido perdido ou roubado e que possua valor significativo.
Como o cartão serve para te proteger

A carteira Tangem parece um cartão bancário comum. Basta aproximá-la do seu celular e um aplicativo complementar se comunica com um chip Samsung S3D232A interno. Esse chip é um elemento de segurança, projetado para resistir a adulterações e certificado com um alto nível de proteção, denominado EAL6+.
Segurança cibernética

Ela contém a chave secreta que controla suas criptomoedas e nunca a revela. Duas coisas devem impedir que um ladrão chegue ao seu dinheiro: ter o cartão em mãos e saber a senha.

O ponto fraco é a função de redefinição de senha. A Tangem vende seus cartões em conjuntos interligados e, caso você esqueça sua senha, pode definir uma nova aproximando dois cartões. Nesse processo, o cartão realiza uma única verificação: ele está em modo de recuperação? Se sim, aceita uma nova senha sem solicitar a antiga.

Um pulso de laser disparado no chip no exato momento em que ele executa a verificação não sobrescreve silenciosamente um valor armazenado. Ele perturba brevemente o circuito do próprio chip, fazendo com que a verificação falhe e o cartão se comporte como se estivesse em modo de recuperação, quando na verdade não está.

Com a verificação vencida, o comando SetPin padrão do cartão aceita uma senha totalmente nova: sem senha antiga, sem segundo cartão, sem etapa de recuperação. Desativar o recurso de recuperação não resolve o problema, pois a mesma verificação continua sendo executada em todos os cartões.

Difícil de fazer e irreparável.

Nada disso é fácil. Foi necessário um equipamento a laser, instrumentos de medição de alta precisão, profundo conhecimento de hardware e um longo período de trabalho inicial para mapear o chip e encontrar o ponto e o tempo exatos. A placa precisa ser aberta e o chip exposto, o que causa danos visíveis.

Não há como fazer isso discretamente e guardar o cartão de volta no bolso. Donjon relata que, uma vez que as configurações foram definidas, o ataque funcionou em todos os cartões testados, levando cerca de duas horas para cada um. A equipe reportou a falha à Tangem em 10 de fevereiro de 2026.

O problema maior é a permanência. A Tangem fabrica seus cartões sem possibilidade de atualização de firmware e apresenta isso como um recurso de segurança: nada pode ser alterado, portanto, nada pode ser adulterado remotamente. Aqui, esse mesmo princípio se revela ineficaz, deixando uma falha no código que jamais poderá ser corrigida.

Como afirmaram os pesquisadores, "não há solução, mas o ataque é físico e invasivo", portanto não pode ser realizado remotamente.

O que Tangem diz

A Tangem reagiu. Em uma resposta pública , a empresa afirmou que se tratava de um método físico testado apenas em laboratório, que funciona contra chips de segurança em geral, e não algo exclusivo de seus cartões. A empresa também observou que a Donjon pertence à Ledger , uma de suas maiores concorrentes.

Seu ponto mais crítico diz respeito ao dinheiro: um cartão Tangem não contém nenhuma informação sobre quem o possui ou quanto dinheiro ele armazena. Assim, um atacante que investe US$ 250.000 e danifica cartões para aprimorar o ataque não tem como saber se um cartão roubado vale US$ 50 ou US$ 50 milhões.

A Tangem também afirma que, até o momento, ninguém perdeu fundos em um ataque a laser contra qualquer carteira de hardware e que, para usuários comuns, "o risco prático é praticamente inexistente".

Ambos os lados têm razão em parte. Os pesquisadores da Donjon estão certos ao afirmar que a falha é real, está presente em todas as cartas e é incorrigível. A Tangem está certa ao dizer que, para quase todos, o custo, as cartas danificadas e a incerteza sobre o conteúdo de cada carta tornam o jogo inútil.

O ponto de encontro real é restrito: um cartão perdido, roubado ou apreendido que o atacante já tem motivos para considerar que vale a pena o esforço.

Não é o primeiro chip de carteira quebrado dessa forma.

Este não é o único ataque a laser da Donjon contra uma carteira de hardware este ano. No início de junho, a Trezor e sua parceira de chips, a Tropic Square, divulgaram um resultado semelhante: a Donjon utilizou a mesma técnica, injeção de falhas a laser, no chip TROPIC01 da nova Trezor Safe 7.
Desta vez, o ataque conseguiu burlar a verificação de assinatura do firmware do chip e executar seu próprio código.

A Trezor afirmou que os fundos permaneceram seguros porque o Safe 7 possui três camadas de segurança distintas, e a camada que protege o PIN se manteve firme. Ao contrário da Tangem, a Trezor e a Tropic Square, que poderiam se defender, lançaram uma solução provisória para os chips atuais e estão aprimorando a próxima versão do silício.

Ataques mais baratos a carteiras digitais são mais antigos, mas atingem alvos mais vulneráveis. Anos atrás, essa mesma equipe conseguiu extrair a frase de recuperação diretamente de uma Trezor One ou Trezor T roubada , usando um equipamento que custava cerca de US$ 100, porque essas carteiras protegiam seus segredos com um microcontrolador comum e nenhum elemento de segurança.

O chip reforçado da Tangem é o diferencial: é por isso que o mesmo tipo de ataque físico agora exige um laboratório de um quarto de milhão de dólares. Ele eleva o nível de segurança; esta pesquisa mostra que não elimina o perigo. E uma classificação como EAL6+ garante apenas o chip e suas defesas integradas, não o código que um fabricante de carteira adiciona por cima, que é onde reside essa falha.

Esta é também a terceira descoberta de Donjon sobre a Tangem. Uma vulnerabilidade que permitia burlar um aplicativo Android pôde ser corrigida, pois estava presente no software controlado pela Tangem. Mas este ataque a laser e um método de força bruta para quebra de senha, descoberto anteriormente, estão ambos no firmware do cartão, que não pode ser alterado.

O que fazer

Para quase todos, a resposta não é novidade: guarde o cartão em um local onde um ladrão não possa alcançá-lo. Esse tipo de ataque não atinge um cartão que você ainda possui. Se um cartão Tangem for perdido ou roubado e você estiver protegendo valores consideráveis, transfira os fundos imediatamente, usando outro cartão do seu conjunto (ou uma frase mnemônica, se você tiver configurado uma), e pare de confiar na senha para proteger um cartão que você não controla mais.

Fonte: https://www.facebook.com/share/p/1KNBERXtzH/

04/08/2026

*PARTICIPE DA AULA 1 DA IMERSÃO EM GRC*
Começa agora às 19h com Prof. Wellington Monaco

Serão 2 aulas para você entender fundamentos e abordagem para desenvolvimento de capacidade organizacional de GRC.

Ao todo, serão 6 horas.

*Para emissão do certificado:* fique atento, pois a palavra-chave de confirmação de presença poderá ser anunciada a qualquer momento durante a aula. Não basta entrar apenas no final. É necessário participar desde o início e acompanhar atentamente toda a transmissão. Sem a palavra-chave, não será possível emitir o certificado.

*Acesse a sala do Zoom abaixo*
https://us02web.zoom.us/j/87511945975?pwd=fbaJeGqD4XfjypeUHixb8iV2XJzelJ.1

ID da reunião: 875 1194 5975
Senha: 816551

04/08/2026

⚠️🔵 Novo GigaWiper Windows Backdoor Bundles Disk Wiping, Falso Ransomware e Spyware

Por: In BoT_SeC

A Microsoft desmontou um backdoor destrutivo do Windows que chama de GigaWiper.

O que se destaca é como ele é construído: não uma ferramenta, mas três programas destrutivos mais antigos, oferecidos como comandos que o operador pode escolher.
Cada um é uma maneira diferente de quebrar uma máquina: limpar o disco inteiro, substituir a unidade do Windows ou executar "ransomware" falso que embaralha arquivos com uma tecla que nunca salva.

Como isso é malware e não há uma única falha, não há patch para perseguir; GigaWiper é o que um invasor é executado depois que eles já estão dentro, o que torna a detecção precoce e backups limpos e off-line a defesa real.

Os mesmos arquivos maliciosos aparecem em um segundo relatório sob outro nome: BLUERABBIT, um backdoor Binary Defense sinalizado no mês passado.

A Microsoft lista quatro hashes para o backdoor GigaWiper ; Binary Defense lista os mesmos quatro para BLUERABBIT, e ambos os servidores de comando correspondem.

A Defesa Binária, citando o Grupo de Inteligência de Ameaças do Google, liga o malware a um provável grupo de exclusos do Irã voltado para organizações israelenses. A Microsoft não nomeia nenhum país.

Três maneiras de destruir uma máquina

GigaWiper é escrito em Go (também chamado de Golang) e é executado no Windows.

São necessárias ordens como comandos numerados, e três deles destroem a máquina, cada um de uma maneira diferente:

Um limpador de disco bruto que sobrescreve a unidade física e limpa a tabela de partição (o mapa de como o disco é disposto) antes da reinicialização.

Não há exclusão arquivo por arquivo para reverter; ele destrói o conteúdo do disco diretamente.

Ransomware falso construído em código mais antigo chamado Crucio. Ele criptografa arquivos, adiciona uma extensão .candy e altera o papel de parede da área de trabalho para uma imagem de aviso alarmante.

Não há nenhuma nota de resgate e nenhuma chave salva, então não há nada a pagar e nada para descriptografar. Isto é destruição vestindo um traje de ransomware.

O último tem como alvo a unidade do Windows, substituindo-a várias vezes com diferentes padrões de dados. A Microsoft diz que é uma reescrita Go de um limpador que rastreia como FlockWiper.

Nenhum deles deixa um caminho de volta: arquivos criptografados não podem ser desbloqueados porque a chave desapareceu, e as unidades limpas só podem ser reconstruídas a partir de backups limpos. O objetivo é uma máquina morta, não um pagamento.

Também espia

A destruição é apenas metade. O mesmo backdoor pode silenciosamente assistir e controlar um PC infectado.

Ele faz capturas de tela de cada monitor, grava a tela enquanto alguém está trabalhando e pode abrir uma sessão VNC oculta que transmite a exibição e permite que o atacante digite e mova o mouse.

Ele também coleta detalhes do sistema, gerencia programas e serviços em execução, edita o registro e pode limpar os registros de eventos do Windows para cobrir suas faixas.

A Microsoft encontrou mais comandos adormecidos nas amostras que examinou, incluindo esboços para um keylogger e limpadores adicionais.

Para ficar fora de vista, GigaWiper finge ser OneDrive. Ele cria uma tarefa agendada chamada OneDrive Update que é executada a cada minuto e se rastreia em uma chave de registro em HKCU\SOFTWARE\OneDrive\Environment.

Quando abre seu canal de controle remoto, ele se esconde atrás de uma regra de firewall com o nome de um componente real do Windows, o Microsoft.Windows.CloudExperienceHost.

Para seu tráfego de comando, ele ignora solicitações comuns da web e m***a em serviços de negócios reais: RabbitMQ para tarefas, Redis para resultados e MinIO para exfiltração.

Como essas são ferramentas legítimas, em vez de um canal de malware personalizado, o tráfego parece comum em redes que já as executam.

De onde veio o GigaWiper

A Microsoft rastreia o código de ransomware falso da GigaWiper de volta para Crucio e seu limpador de várias passagens de volta para o FlockWiper, e avalia que o mesmo desenvolvedor construiu todos os três. Ele não nomeia nenhum país.

Mas o Crucio não é anônimo. Seu código foi listado como suspeito de ransomware em um comunicado da CISA de dezembro de 2023 sobre CyberAv3ngers, um grupo ligado ao Corpo da Guarda Revolucionária Islâmica do Irã.

Essa é a mesma tripulação, informou o THN, que invadiu locais de água e energia nos EUA, Israel, Reino Unido e Irlanda em 2023, entrando em controladores industriais expostos à internet.

Em um caso, eles assumiram o controle de uma estação de reforço em uma autoridade de água da Pensilvânia.

A amostra do Crucio que a Microsoft cita carrega a mesma impressão digital listada nesse comunicado.

A Microsoft também encontrou uma tag recorrente, "GRAT", tanto nos caminhos de depuração do FlockWiper quanto nos próprios nomes de funções do GigaWiper, amarrando as duas ferramentas e insinuando um componente adicional que ainda não surgiu.

O momento difere de acordo com a fonte: a Microsoft data a atividade destrutiva até outubro de 2025, enquanto a Binary Defense viu pela primeira vez os mesmos arquivos que o BLUERABBIT em março de 2026.

Parte de uma onda maior

A atividade de limpeza ligada ao Irã contra Israel atraiu repetidos avisos até 2025 e 2026.

A Unidade 42 da Palo Alto Networks acompanhou um surto paralelo, grande parte de um grupo separado, Handala Hack, e em março de 2026 a Direção Nacional de Cibersegurança de Israel alertou sobre ataques de limpadores iranianos contra organizações locais.

A tática que GigaWiper usa é antiga: NotPetya em 2017 também se passou por ransomware enquanto silenciosamente destrói dados.

O disfarce compra o tempo do invasor: uma máquina destruída primeiro parece um caso de ransomware do qual alguém pode se recuperar, não a perda total que é.

A Microsoft enquadra o GigaWiper como operadores que dobram ferramentas separadas em uma plataforma flexível.

Para os defensores, a consequência é concreta: quando um único implante pode assistir, roubar ou destruir, a ferramenta não revela mais o objetivo.

Você costumava ler a intenção do malware que encontrou; aqui, o operador decide depois que eles já estão dentro.

Uma plataforma, dois nomes de fornecedores e esboços de comando inativo ainda estão no ponto de código para uma ferramenta ainda sendo construída.

O que os defensores devem fazer

Detectá-lo rapidamente se resume a alguns sinais específicos:

Uma tarefa agendada do OneDrive Update que se repete a cada minuto.

O tráfego RabbitMQ ou Redis de desktops comuns em vez de servidores.

Processos usando takeown e icacls para assumir a propriedade de arquivos de inicialização do Windows como bootmgr e ntoskrnl.exe fora do windows de manutenção.

No lado do produto, a Microsoft recomenda ativar a proteção de adulteração para que os invasores não possam desligar seu antivírus, bloqueando os dois servidores de comando conhecidos (185.182.193[.]21 e 212.8.248[.]104), executando a detecção de endpoint no modo de bloco e permitindo a proteção entregue na nuvem e a remediação automática.

A lista completa de hashes de arquivos, endereços de servidor e nomes de detecção está no relatório da Microsoft.

O Hacker News entrou em contato com a Microsoft e a Binary Defense para confirmação de que GigaWiper e BLUERABBIT são o mesmo malware, e para detalhes sobre o escopo e atribuição da vítima, e atualizará essa história com qualquer resposta.

Fonte: https://www.facebook.com/share/p/1E2SPCYLXZ/