Trojan usa WordPress e blockchain para roubar credenciais

Pesquisadores do WatchGuard Threat Lab identificaram uma campanha global de ciberataques que utiliza WordPress, Cloudflare e a rede Ethereum Sepolia para roubar credenciais. A operação entrega o NightshadeC2, também conhecido como CastleRAT, uma ferramenta de espionagem capaz de assumir o controle total de ambientes infectados.

Engenharia social e infraestrutura descentralizada

A campanha mira exclusivamente usuários de seis países de língua inglesa: Estados Unidos, Canadá, Reino Unido, Irlanda, Austrália e Nova Zelândia. Para atrair as vítimas, os operadores combinam a tática de engenharia social ClickFix com o conceito de EtherHiding, em que a lógica criptografada de entrega do malware é armazenada em contratos inteligentes na rede de testes Ethereum Sepolia, dificultando derrubadas tradicionais de infraestrutura. A cadeia de infecção explora a confiança em serviços legítimos, encadeando manipulação de sites em WordPress, armazenamento no Cloudflare R2, utilitários nativos em PowerShell e Python, além de recursos da comunidade da Steam.

Evasão avançada e autodestruição na CEI

Durante o monitoramento, a equipe da WatchGuard mapeou variações nos padrões de URI, rotuladas como psc2, psc3 e psc4, refletindo ajustes em tempo real para contornar assinaturas estáticas. Um detalhe marcante é uma rotina de checagem geográfica inversa: o malware interrompe a execução e se autodestroi caso detecte que o sistema pertence a países da Comunidade dos Estados Independentes (CEI).

Capacidades do NightshadeC2

Após a execução da cadeia inicial, o payload final IntelSoftwareUpdaterVX é implantado, alocando um ambiente Python 3.11 oculto. O NightshadeC2 opera como um Trojan de Acesso Remoto associado ao operador de Malware-as-a-Service TAG-150. Entre suas capacidades estão a criação de tarefas agendadas para persistência, a coleta de dados do sistema como GUID da máquina, hostname e antivírus instalados, e a comunicação de comando e controle via pacotes DNS para burlar firewalls. O malware usa criptografia ChaCha20, RC4, AES-GCM e AES-256-CBC, e consulta perfis da Steam Community como dead-drop resolver para obter a URL atualizada do servidor de C2. Também burla o UAC abusando do executável legítimo ComputerDefaults.exe e executa código diretamente na memória, sem salvar arquivos no disco. A vigilância inclui keylogging, captura da área de transferência, capturas de tela periódicas, transmissão de vídeo em tempo real e roubo de cookies, senhas e carteiras de criptomoedas.

Indicadores de comprometimento (IOCs)

A tabela a seguir lista os principais indicadores associados a esta campanha, conforme divulgado pelo WatchGuard Threat Lab:

Organizações devem monitorar ativamente esses indicadores em seus sistemas de detecção e resposta, além de implementar bloqueios preventivos em firewalls e proxies.

Relação com vazamentos de dados e SIM swap

O roubo de credenciais realizado pelo NightshadeC2 não se limita ao acesso inicial. As informações coletadas, como senhas e cookies de sessão, podem ser utilizadas em ataques secundários, incluindo o SIM swap (clonagem de chip). Nesse cenário, o criminoso, de posse de dados pessoais e credenciais, convence a operadora de telefonia a transferir o número da vítima para um novo chip sob seu controle. Com o número clonado, o atacante pode burlar a autenticação de dois fatores baseada em SMS, acessar contas bancárias, e-mails e outros serviços críticos.

Para mitigar o risco de SIM swap, recomenda-se:

• Utilizar autenticação de dois fatores baseada em aplicativos (como TOTP) em vez de SMS.
• Solicitar à operadora um bloqueio adicional para troca de SIM, como exigência de senha ou biometria.
• Monitorar regularmente a atividade da linha telefônica e notificar imediatamente a operadora em caso de perda de sinal inexplicável.
• Evitar o compartilhamento excessivo de dados pessoais em redes sociais, que podem ser usados para engenharia social na operadora.

Proteção corporativa e resposta a incidentes

Diante de ameaças tão sofisticadas, a postura de segurança deve evoluir de uma abordagem puramente reativa para uma estratégia proativa e em camadas. Recomenda-se:

• Implementar telemetria comportamental contínua em endpoints para detectar atividades anômalas, como execução de código em memória ou comunicação DNS suspeita.
• Restringir o uso de PowerShell e Python em estações de trabalho, permitindo apenas scripts assinados e em contextos controlados.
• Bloquear o acesso a domínios recém-registrados e a serviços de armazenamento em nuvem não corporativos.
• Realizar treinamentos de conscientização sobre engenharia social, com foco em táticas como ClickFix e e-mails de phishing.
• Manter backups offline e testar regularmente a restauração para mitigar o impacto de um possível ransomware.

Além disso, é crucial que as organizações monitorem continuamente a superfície de exposição digital, incluindo credenciais vazadas de seus funcionários. A Kzarka oferece uma plataforma avançada de monitoramento de vazamentos de dados e proteção contra roubo de identidade digital, permitindo que empresas e indivíduos verifiquem se suas informações foram comprometidas e recebam alertas em tempo real.

Para saber mais sobre esta ameaça, consulte a notícia original.

Em um cenário onde os cibercriminosos exploram infraestruturas descentralizadas e técnicas avançadas de evasão, a vigilância contínua e a resposta rápida são essenciais. Verifique agora se seus dados foram vazados e monitore sua identidade digital com a Kzarka em https://kzarka.com.