O cenário de ameaças cibernéticas evolui constantemente, e a descoberta de novas ferramentas por grupos criminosos exige atenção redobrada das organizações. Recentemente, pesquisadores da Kaspersky GERT identificaram uma nova campanha do grupo Toy Ghouls, que agora utiliza backdoors personalizados para comprometer sistemas. Esta análise técnica detalha o funcionamento dessas ameaças, seus vetores de infecção e, crucialmente, como elas podem ser exploradas para viabilizar golpes financeiros, como o golpe do PIX.
Contexto da Ameaça: Toy Ghouls e a Evolução das Táticas
O grupo Toy Ghouls, também conhecido como Bearlyfy, Laboo.boo e Feral Wolf, tem como principal motivação o ganho financeiro. Desde 2025, eles têm direcionado ataques a organizações russas, inicialmente utilizando ferramentas de código aberto e builders de ransomware vazados, como Babuk e LockBit. Contudo, em julho de 2026, foi observada uma mudança significativa: a introdução de um backdoor customizado, denominado "Bird Agent". Este backdoor possui duas variantes, cada uma utilizando um canal de comunicação distinto: o broker MQTT HiveMQ e o mensageiro Element, baseado no protocolo Matrix.
Essa evolução demonstra a capacidade do grupo de desenvolver ferramentas próprias para aumentar a eficácia de suas operações. A utilização de serviços legítimos, como brokers MQTT públicos e servidores Matrix, como infraestrutura de comando e controle (C2) é uma tática sofisticada que dificulta a detecção e o bloqueio por soluções de segurança tradicionais.
Análise Técnica dos Backdoors
A análise da Kaspersky revela detalhes importantes sobre o funcionamento dessas ameaças. Ambas as versões são entregues via Windows Remote Management (WinRM) e possuem capacidades de persistência como serviços do Windows. A configuração é armazenada em arquivos config.toml, com campos sensíveis criptografados usando o algoritmo ChaCha20-Poly1305, com chave derivada do MachineGuid da máquina, garantindo que o backdoor só funcione no sistema comprometido original.
Variante HiveMQ: Explorando o Protocolo MQTT
Esta versão utiliza o broker público broker.hivemq.com como servidor C2. A comunicação ocorre através de tópicos MQTT específicos:
- Status: Envia informações do sistema (hostname, IP, localização) via POST para
broker.hivemq.com:8883/[clusterid]/status. - Métricas: Envia periodicamente dados de desempenho (CPU, memória, disco) para
/metrics3. - Comandos: Recebe comandos do C2 via GET em
/cmd/req, que são executados via PowerShell em modo oculto. - Resultados: Envia a saída dos comandos para
/cmd/res.
O uso de um broker público oferece anonimato e escalabilidade aos atacantes, pois o tráfego se mistura ao de outros usuários legítimos do serviço.
Variante Element: Comunicação via Matrix
A segunda versão utiliza um servidor Element controlado pelos atacantes (meet.element[.]tw). O backdoor se registra em uma sala específica, onde recebe comandos e envia informações. A configuração é armazenada no registro do Windows, na chave HKLM\Software\synapse\Config\SealedConfig, após a primeira execução, e o arquivo original é deletado. A comunicação inclui mensagens do tipo m.bird.s (ainda não detalhadas publicamente), mas presume-se que sigam um padrão similar de comando e resposta.
Indicadores de Comprometimento (IOCs) e Detecção
Para auxiliar equipes de segurança na identificação dessas ameaças, compilamos uma tabela com os principais indicadores observados:
| Indicador | Tipo | Descrição |
|---|---|---|
cplsupport.exe | Arquivo | Backdoor variante HiveMQ |
wtass.exe | Arquivo | Backdoor variante Element |
broker.hivemq.com | Domínio | C2 da variante HiveMQ |
meet.element[.]tw | Domínio | C2 da variante Element |
HKLM\Software\synapse\Config\SealedConfig | Registro | Configuração criptografada da variante Element |
%PROGRAMDATA%\cplsupport\config.toml | Arquivo | Configuração da variante HiveMQ |
Além desses IOCs, é fundamental monitorar processos suspeitos executando PowerShell com parâmetros como -NonInteractive -NoProfile -Command, bem como conexões de saída para os domínios citados.
Conexão com o Golpe do PIX: Impacto Financeiro Direto
Embora os backdoors em si sejam ferramentas de acesso remoto, seu objetivo final é o lucro. Com controle total sobre um sistema comprometido, os atacantes podem realizar diversas ações maliciosas, incluindo:
- Roubo de credenciais bancárias: Keyloggers podem capturar senhas de acesso a contas bancárias e aplicativos de pagamento.
- Manipulação de transações: Em tempo real, o atacante pode alterar dados de transferências PIX, redirecionando valores para contas controladas por eles.
- Sequestro de sessões: Se o usuário estiver logado em um internet banking, o backdoor pode assumir a sessão e realizar transferências fraudulentas.
- Instalação de malware bancário: O backdoor pode ser usado como vetor para baixar e instalar trojans bancários específicos, como o Grandoreiro ou o Mekotio, que são amplamente utilizados no Brasil para golpes de PIX.
O golpe do PIX é uma preocupação crescente no Brasil, e a presença de um backdoor como o Bird Agent em um sistema corporativo ou pessoal aumenta exponencialmente o risco de perdas financeiras. A capacidade de executar comandos remotamente permite que os criminosos orquestrem ataques de engenharia social mais convincentes, como enviar mensagens fraudulentas a partir do próprio dispositivo da vítima, ou até mesmo acessar diretamente o aplicativo do banco se a autenticação de dois fatores não estiver bem configurada.
Estratégias de Mitigação e Proteção
Diante dessa ameaça sofisticada, as organizações devem adotar uma abordagem proativa de segurança:
- Segmentação de rede: Limitar o acesso a sistemas críticos e isolar servidores de pagamento.
- Monitoramento contínuo: Implementar soluções de EDR (Endpoint Detection and Response) e SIEM para detectar comportamentos anômalos, como execução de PowerShell suspeito.
- Controle de aplicações: Restringir a execução de binários não assinados e bloquear ferramentas como WinRM em ambientes onde não são necessárias.
- Educação do usuário: Treinar funcionários para reconhecer tentativas de phishing e não clicar em links ou anexos suspeitos.
- Atualizações e patches: Manter sistemas operacionais e aplicativos atualizados para corrigir vulnerabilidades exploradas na entrega do malware.
- Verificação de vazamentos: Monitorar se credenciais corporativas foram expostas em vazamentos de dados, pois isso pode ser o ponto de partida para ataques de força bruta ou acesso inicial.
FAQ: Perguntas Frequentes sobre o Backdoor Toy Ghouls
1. O que é o grupo Toy Ghouls?
É um grupo criminoso financeiramente motivado que tem atacado organizações russas desde 2025, inicialmente com ransomware e agora com backdoors customizados.
2. Como o backdoor Bird Agent é entregue?
Ele é entregue via Windows Remote Management (WinRM), utilizando ferramentas como Evil-WinRM e WinRM-fs para transferir os arquivos para o sistema alvo.
3. Qual a diferença entre as duas variantes do backdoor?
A variante HiveMQ usa o broker MQTT público broker.hivemq.com para comunicação C2, enquanto a variante Element usa um servidor Matrix controlado pelos atacantes (meet.element[.]tw).
4. Como o backdoor se mantém persistente no sistema?
Ele se instala como um serviço do Windows, garantindo execução automática a cada inicialização. A configuração é criptografada e vinculada à máquina, dificultando a remoção.
5. Este backdoor pode ser usado para golpes de PIX?
Sim, com acesso remoto total, os atacantes podem roubar credenciais bancárias, manipular transações ou instalar malware bancário específico para realizar transferências fraudulentas via PIX.
6. Como posso proteger minha empresa contra essa ameaça?
Implemente controles como segmentação de rede, monitoramento de endpoints, educação de usuários e verificação contínua de vazamentos de dados. A Kzarka pode ajudar a monitorar se suas credenciais foram expostas.
A descoberta dos backdoors do Toy Ghouls é um lembrete claro de que as ameaças cibernéticas estão em constante evolução. A utilização de infraestrutura legítima para comando e controle torna a detecção mais desafiadora, mas não impossível. Com as estratégias corretas de monitoramento e resposta a incidentes, é possível mitigar os riscos e proteger seus ativos digitais.
Se você suspeita que seus dados possam ter sido comprometidos ou deseja monitorar proativamente sua identidade digital, visite a Kzarka e verifique gratuitamente se suas informações foram expostas em vazamentos. Nossa plataforma oferece monitoramento contínuo e alertas em tempo real para ajudá-lo a agir antes que os criminosos o façam.