Descoberta e escopo da campanha
Um atalho malicioso do Windows está sendo usado para transformar um download rotineiro em um ponto de apoio de execução remota de código. A campanha começa com spam convincente com tema de reserva e direciona as vítimas para um arquivo ZIP que esconde um arquivo LNK envenenado. Um clique pode silenciosamente iniciar uma cadeia que instala um backdoor e dá aos atacantes um caminho para executar comandos adicionais.
Em vez de depender de um único programa malicioso, os operadores combinam ferramentas nativas do Windows com um tempo de execução legítimo do Node.js. Isso torna a atividade mais difícil de detectar, pois o PowerShell, o node.exe e os serviços web padrão podem parecer normais isoladamente. A abordagem também permite persistência, comunicações criptografadas e entrega de arquivos adicionais após o primeiro comprometimento.
Analistas da LevelBlue identificaram a atividade enquanto investigavam um alerta em um ambiente de cliente. Suas descobertas mostram uma campanha projetada para ocultar cada estágio até que a vítima já tenha lançado o atalho. A exposição é significativa para organizações que lidam com mensagens externas frequentes, particularmente hotéis e empresas relacionadas a viagens que podem esperar correspondência de reserva.
Técnica de execução e persistência
O arquivo ZIP contém um atalho disfarçado como uma imagem, emprestando um ícone do shell32.dll. Quando aberto, ele executa um comando PowerShell oculto em vez de exibir uma fotografia. O comando usa números grandes e matemática simples para reconstruir seu próximo endereço, um truque que mantém o destino sem ser visível claramente no atalho.
Esse primeiro script verifica se o Node.js está disponível. Se não estiver, os atacantes buscam um pacote legítimo do Node.js, o descompactam na pasta LocalAppData do usuário e depois descriptografam uma carga útil JavaScript codificada. Usar um tempo de execução confiável reduz a suspeita enquanto fornece o ambiente necessário para lançar o backdoor. O JavaScript é fortemente embaralhado e usa um interpretador estilo máquina virtual personalizado para processar instruções ocultas em tempo de execução.
O processo é lançado de forma desvinculada, com sua janela oculta e saída suprimida. O backdoor pode recuperar e executar mais conteúdo, incluindo executáveis do Windows, PowerShell ou JavaScript. Antes de lançar um executável baixado, ele verifica se o arquivo se assemelha a um programa Windows válido e tenta adicionar uma exclusão para seu caminho no Microsoft Defender.
Blockchain como C2
Em vez de armazenar um endereço de comando e controle diretamente no malware, os operadores consultam um contrato inteligente na blockchain TON. Este método EtherHiding permite que eles alterem o destino sem reconstruir o arquivo, complicando os esforços de bloqueio e remoção. O backdoor então abre uma conexão WebSocket e usa troca de chaves e criptografia.
Os registros do contrato revelaram vários domínios de controle usados anteriormente, enquanto os servidores de entrega de carga útil e controle estavam atrás do Cloudflare. Os pesquisadores também encontraram nomes LNK recorrentes, incluindo arquivos com tema de foto e IMG, e um valor MachineID comum. Defensores devem tratar arquivos ZIP de atalhos inesperados e links de reserva como suspeitos, especialmente quando pedem aos usuários que ignorem avisos de download.
Indicadores de comprometimento (IoCs)
Equipes de segurança podem reduzir o risco filtrando ou inspecionando de perto anexos ZIP e links de remetentes não verificados, e bloqueando a execução desnecessária de atalhos de arquivos originados de e-mail. Monitorar PowerShell oculto, novos binários do Node.js em pastas de usuário, entradas de registro Run incomuns e solicitações a serviços de API blockchain pode ajudar a expor a cadeia cedo.
Organizações devem isolar sistemas afetados e revisar a atividade de rede relacionada prontamente. A campanha mostra como ferramentas familiares podem ser encadeadas para ocultar uma intrusão séria. Um atalho de imagem inofensivo, um tempo de execução legítimo e uma consulta blockchain cada um obscurecem uma parte diferente da operação. O relatório rápido de mensagens suspeitas e a preservação do arquivo ZIP original podem dar aos respondedores de incidentes as evidências necessárias para conter infecções semelhantes.