Backdoors Toy Ghouls: Nova Ameaça Usa HiveMQ e Element

Alerta máximo. O grupo cibercriminoso Toy Ghouls — também conhecido como Bearlyfy, Laboo.boo e Feral Wolf — acaba de elevar o jogo. Eles não dependem mais apenas de ferramentas prontas da internet. Agora, desenvolveram seus próprios backdoors para invadir sistemas e manter controle total.

A descoberta é dos especialistas da Kaspersky GERT, que detalharam duas versões da ameaça. Uma usa o broker MQTT HiveMQ como servidor de comando e controle (C2). A outra se esconde no mensageiro Element, baseado no protocolo Matrix. Ambas são perigosas e já estão em uso ativo.

Se você pensa que isso é só mais uma notícia distante, repense. O alvo são organizações russas, mas a técnica pode se espalhar. E o impacto é direto: roubo de dados, espionagem e ransomware. É hora de agir.

O que são esses backdoors e por que você deve se preocupar

Backdoor é como uma porta dos fundos digital. Uma vez instalada, permite que invasores entrem e saiam do sistema sem serem notados. No caso do Toy Ghouls, os backdoors foram batizados com “bird” no nome: mqtt-bird-agent 0.1.0 e matrix-bird-agent 0.1.0.

Eles são entregues via Windows Remote Management (WinRM), usando ferramentas open-source como Evil-WinRM. Depois de dentro, o backdoor se instala como serviço do Windows ou roda em sessão interativa. A persistência é garantida — ou seja, ele sobrevive a reinicializações.

O mais assustador? A configuração é criptografada com ChaCha20-Poly1305, uma criptografia forte. A chave deriva do MachineGuid do registro do Windows. Isso significa que o backdoor fica “preso” à máquina infectada. Se alguém copiar o arquivo para outro PC, ele não funciona. Inteligente e cruel.

Mas não para por aí. A comunicação com o servidor de comando é disfarçada em tráfego legítimo. No caso do HiveMQ, o backdoor usa o broker público broker.hivemq.com na porta 8883. Os atacantes criaram seu próprio cluster e usam tópicos MQTT para enviar comandos e receber resultados. Já a versão Element usa um servidor Matrix controlado por eles, meet.element[.]tw, com salas privadas para orquestrar o ataque.

Em outras palavras: o tráfego parece normal, dificultando a detecção por firewalls e sistemas de segurança tradicionais.

Como o Toy Ghouls executa o ataque na prática

O modus operandi é metódico. Primeiro, os invasores comprometem o alvo usando WinRM. Depois, enviam o executável do backdoor e um arquivo de configuração config.toml. O backdoor então se instala e começa a se comunicar.

No primeiro contato, ele envia um GET request para ip-api.com para descobrir o IP público e a localização da vítima. Em seguida, estabelece conexão com o C2. A partir daí, os atacantes podem:

• Coletar telemetria do sistema (CPU, memória, disco, uptime);
• Enviar comandos para execução via PowerShell em modo oculto;
• Receber resultados de comandos, incluindo saída padrão e erros;
• Manter persistência mesmo após reinicializações.

Os comandos são enviados em formato JSON e executados com parâmetros como -NonInteractive -NoProfile -Command. Isso esconde a janela do PowerShell e evita logs. O atacante tem controle total, como se estivesse sentado na frente do computador.

Essa arquitetura permite que o Toy Ghouls realize reconhecimento profundo, mova-se lateralmente na rede e, eventualmente, implante ransomware. Lembre-se: o grupo já usou variantes do Babuk e LockBit, e recentemente criou seu próprio ransomware, o GenieLocker. O backdoor é a porta de entrada para o caos.

Leia também: OpenAI e Moonshot AI: O Lado Oculto da Extração de Raciocínio para entender como até modelos de IA podem ser explorados por criminosos.

A conexão com vazamentos de dados por aplicativos maliciosos

Você já parou para pensar que um simples aplicativo no seu celular pode ser a porta de entrada para um ataque como esse? Vazamento de dados por aplicativos maliciosos é uma realidade crescente. Criminosos criam apps falsos ou infectam apps legítimos para roubar credenciais, contatos e até dados bancários.

No contexto do Toy Ghouls, a técnica é diferente, mas o objetivo é o mesmo: acessar seus dados. Enquanto o backdoor ataca diretamente o sistema, os aplicativos maliciosos atacam o usuário. Eles pedem permissões excessivas, exibem telas de phishing ou até gravam a tela. Depois, os dados vazados alimentam outros golpes, como extorsão e roubo de identidade.

Por isso, a higiene digital é essencial. Desconfie de apps fora das lojas oficiais, revise permissões e mantenha tudo atualizado. E se você suspeitar que seus dados já vazaram, aja rápido. A Kzarka pode ajudar a verificar se suas informações estão expostas na dark web e monitorar sua identidade digital continuamente.

Aliás, se você quer se aprofundar em como proteger seus dados pessoais, confira este guia: Proteja Seus Dados: Lições Essenciais de Cibersegurança Pessoal. Lá você encontra práticas fundamentais para blindar sua vida digital.

Indicadores de comprometimento e como se defender

Os pesquisadores da Kaspersky divulgaram indicadores de comprometimento (IOCs) que podem ajudar na detecção. Entre eles, nomes de arquivos como cplsupport.exe (versão HiveMQ) e wtass.exe (versão Element), além de caminhos como %PROGRAMDATA%\cplsupport\ e %PROGRAMDATA%\SynapseAgent\. Também há chaves de registro suspeitas, como HKLM\Software\synapse\Config\SealedConfig.

Se você administra sistemas Windows, monitore esses artefatos. Use ferramentas de EDR (Endpoint Detection and Response) para detectar comportamentos anômalos, como execução de PowerShell oculto ou conexões com brokers MQTT públicos. Bloqueie tráfego para broker.hivemq.com e meet.element[.]tw se não houver necessidade legítima.

Para usuários comuns, a defesa começa com consciência e prevenção. Mantenha seu sistema operacional e aplicativos atualizados. Use autenticação de dois fatores. Desconfie de e-mails e links suspeitos. E, principalmente, monitore seus dados. Você não precisa ser uma empresa para ser alvo — qualquer pessoa com dados valiosos está na mira.

FAQ – Perguntas Frequentes sobre Backdoors e Ameaças Emergentes

O que é um backdoor?

Um backdoor é um método secreto de acessar um sistema, contornando a autenticação normal. Ele permite que invasores entrem e controlem o dispositivo remotamente sem serem detectados.

Como o Toy Ghouls usa HiveMQ e Element?

O grupo usa o broker MQTT HiveMQ e o mensageiro Element como servidores de comando e controle. Eles enviam comandos e recebem dados roubados por meio dessas plataformas legítimas, o que dificulta o bloqueio.

Quem são os alvos do Toy Ghouls?

Até agora, o grupo tem como alvo organizações russas. No entanto, as técnicas usadas podem ser replicadas por outros criminosos contra qualquer empresa ou indivíduo em qualquer lugar do mundo.

Como posso saber se fui infectado por um backdoor?

Fique atento a comportamentos estranhos no computador, como lentidão, processos desconhecidos no Gerenciador de Tarefas, tráfego de rede incomum ou alterações não autorizadas. Use um antivírus atualizado e, se suspeitar, procure ajuda profissional.

O que fazer se meus dados vazaram por um aplicativo malicioso?

Primeiro, desinstale o aplicativo imediatamente. Troque as senhas de todas as contas afetadas e ative a autenticação de dois fatores. Depois, monitore seus dados usando um serviço como a Kzarka para detectar usos indevidos.

Como a Kzarka pode me ajudar contra essas ameaças?

A Kzarka monitora vazamentos de dados e protege sua identidade digital. Se suas informações aparecerem na dark web, você recebe um alerta imediato. Assim, pode agir antes que os criminosos causem danos.

Não espere ser a próxima vítima. A ameaça é real e evolui a cada dia. Verifique agora se seus dados estão seguros. Acesse Kzarka e faça uma varredura gratuita. Sua identidade digital merece proteção proativa.