Pesquisadores detectaram uma campanha direcionada a startups indianas, em que o grupo conhecido como Transparent Tribe (também rastreado como APT36) entrega o RAT Crimson por meio de imagens ISO enviadas por e‑mail. A operação utiliza engenharia social que explora informações pessoais para construir documentos falsos altamente convincente.
Descoberta e escopo
Segundo análise publicada pela equipe de pesquisadores citada no relatório, amostras relacionadas ao ataque foram enviadas a partir de endereços vinculados à Índia e continham material temático de startups. Diferente de operações anteriores do grupo, que miravam organizações de defesa e instituições educacionais, esta campanha foca indivíduos ligados a empresas de tecnologia e serviços de segurança que prestam suporte a agências de aplicação da lei.
Vetor e cadeia de execução
O mecanismo de entrega identificado começa com um anexo em formato ISO — exemplificado por um arquivo chamado MeetBisht.iso — que age como um contêiner. Dentro dele há um atalho que se passa por uma planilha do Excel, um arquivo decoy para distrair a vítima, um script em lote (batch) responsável pela execução e o payload disfarçado do Crimson RAT.
Ao abrir o atalho, a vítima vê o documento falso enquanto, em segundo plano, o script copia o malware para pastas do sistema e o inicia a partir de um local considerado "confiável" pelo sistema operacional. Os pesquisadores apontam o uso de comandos PowerShell para suprimir avisos de segurança e a criação de um executável com nome randômico e hard link na pasta de dados do usuário (Application Data).
Técnicas de evasão e comunicação
O payload emprega diversas medidas para dificultar a detecção e análise. A amostra aparece inchada artificialmente para cerca de 34 MB por meio de dados inúteis, enquanto o código malicioso real tem entre 80 e 150 KB — técnica que reduz eficácia de verificações baseadas em assinaturas. Além disso, o binário usa nomes de funções completamente randomizados, complicando o trabalho de engenharia reversa.
Para controle e exfiltração, o Crimson RAT se comunica com servidores de comando e controle usando protocolos TCP personalizados em portas não‑padronizadas — os pesquisadores identificaram conexões para as portas 18661, 20856, 26868, 29261 e 36628 — o que pode dificultar a detecção por sistemas que monitoram apenas portas comuns.
Impacto e alvos
O malware descrito permite controle remoto do endpoint: monitoramento de tela, gravação de áudio, roubo de arquivos e execução de comandos remotos. O foco em fundadores e profissionais de startups de segurança eleva o risco, porque essas vítimas podem ter acesso a dados sensíveis de clientes e infraestruturas de interesse de agências públicas.
Até o momento não foram divulgados números de vítimas ou evidências públicas de compromissos em larga escala; os relatórios disponíveis detalham a técnica de ataque e indicadores técnicos, mas não quantificam o alcance da campanha.
Mitigações e recomendações
- Filtragem de e‑mail: bloquear anexos ISO e outros contêineres oriundos de remetentes desconhecidos ou não verificados.
- Treinamento de conscientização: capacitar equipes para identificar iscas que usam informações pessoais e documentos aparentemente legítimos.
- Controle de execução: restringir a execução de atalhos e scripts a partir de locais temporários e monitorar atividade suspeita de PowerShell e criação de arquivos em pastas de dados do usuário.
- EDR e detecção de comportamento: implantar soluções que identifiquem movimento lateral, gravação de tela e criação de executáveis com nomes randômicos.
- Monitoramento de rede: alertar para conexões de saída a portas não usuais e cruzar IPs de C2 com feeds de inteligência de ameaças.
- Feeds de inteligência: manter assinaturas e indicadores atualizados para bloquear servidores de comando e controle conhecidos.
Repercussão e lacunas de informação
O relatório atribui a campanha ao Transparent Tribe/APT36 e detalha o vetor e técnicas usadas, mas não traz evidência pública de quantos infectados existem nem listas de vítimas identificadas. Também não há declaração pública dos alvos reportados, nem confirmação adicional de agências independentes na matéria consultada. Essas lacunas impedem avaliação precisa do impacto total e do risco para cadeias de fornecimento.
Observações finais
A mudança de foco do grupo para o ecossistema de startups demonstra que atores persistentes adaptam vetores e temas de isca ao perfil de vítimas de maior interesse. Organizações do setor devem reforçar controles de e‑mail, segmentação de privilégios e monitoramento de execuções atípicas, além de compartilhar indicadores relevantes com suas comunidades de defesa. Caso surjam divulgações adicionais com indicadores de comprometimento ou confirmação de vítimas, será necessário reavaliar o alcance desta campanha.