25 notícia(s) relacionada(s).
Reunimos nesta página as publicações do Hack Alerta relacionadas a fileless.
DesckVB RAT v2.9 combina um stager WSH ofuscado, um estágio PowerShell com checagens anti‑análise e um loader .NET que executa em memória. Sua arquitetura plugin‑based permite entrega dinâmica de keylogger, webcam e módulos AV‑enumerator. Recomendações: restringir wscript.exe, habilitar logging do PowerShell e usar EDR com telemetria de execução em memória.
Campanha de phishing contra macOS usa e‑mails de "compliance" e anexos AppleScript com dupla extensão para roubar senhas administrativas, contornar TCC e manter persistência; infraestrutura inclui domínio sevrrhst[.]com.
A campanha 'Operation: ToyBox Story', atribuída ao grupo Ricochet Chollima, usa atalhos .LNK, comandos PowerShell ocultos e injeção de shellcode em memória para comprometer ativistas e organizações sobre a Coreia do Norte. Os operadores usam a API do Dropbox como canal de comando e controle, segundo análises citadas na cobertura.
Pesquisadores da Cyble descreveram o ShadowHS, um framework fileless para Linux que executa payloads cifrados em memória via file descriptors anônimos. O malware inclui rotinas de fingerprint de EDR, módulos latentes para roubo de credenciais, movimentação lateral, exfiltração por túneis em espaço de usuário e até capacidades de mineração. A operação exclusiva em memória complica resposta a incidentes e requer coleta de memória ativa.
Caminho Loader é um loader‑as‑a‑service identificado pela sandbox ANY.RUN que esconde assemblies .NET em imagens via esteganografia LSB e entrega payloads como REMCOS e AsyncRAT. Amostras com strings em português e o namespace "HackForums.gigajew" reforçam ligação ao Brasil; vítimas foram confirmadas no Brasil, África do Sul, Ucrânia e Polônia.
Analistas da Swiss Post Cybersecurity documentaram uma campanha que usa PNGs "polyglot" hospedados em infraestrutura legítima (ex.: archive.org) para entregar o infostealer PURELOGS. O vetor começa com phishing e um JScript dropper que baixa uma imagem contendo um payload Base64 inserido após o IEND do PNG entre marcadores "BaseStart-" e "-BaseEnd". O código é decodificado e carregado diretamente em memória via .NET Reflection e executado por Pow
Operação da gangue Black Cat usou sites falsos de Notepad++ e técnicas de SEO para distribuir instaladores maliciosos. Pesquisadores reportam cerca de 277.800 servidores comprometidos em dezembro de 2025; o malware carrega uma DLL que descriptografa e executa um PE em memória e conecta‑se a sbido.com:2869 para exfiltrar dados.
Pesquisadores da Cyble detalharam uma campanha que utiliza um loader commodity para distribuir RATs e info‑stealers contra manufatura e órgãos governamentais em Itália, Finlândia e Arábia Saudita. A cadeia de quatro estágios inclui phishing, esteganografia em PNGs, execução reflectiva em memória e uma biblioteca trojanizada que facilita injeção de processo e entrega do PureLog Stealer.
Operação do grupo BlindEagle mirou uma agência do Ministério de Comércio da Colômbia, usando conta interna comprometida e anexo SVG para entregar payloads fileless que culminaram na injeção do DCRAT em MSBuild.exe.
Campanha de vishing identificada usa chamadas forjadas no Microsoft Teams e o utilitário QuickAssist para conseguir acesso remoto e instalar um .NET malware que executa payloads em memória. O fluxo envolve domínios maliciosos e cifragem AES-CBC; detecção e bloqueio de domínios e restrição de suporte remoto são recomendados.