Pesquisadores de cibersegurança divulgaram detalhes de uma campanha ativa e conduzida em múltiplas ondas, que usa iscas de engenharia social com temas relacionados a atualizações de softwares da Adobe e do Zoom, revisão de documentos corporativos e utilitários de manutenção de sistema para instalar de forma furtiva programas de Monitoramento e Gerenciamento Remoto, conhecidos como RMM, como o ConnectWise ScreenConnect.
A operação foi batizada de SMOKE#SCREEN pela Securonix Threat Research.
"A campanha depende de um conjunto de ferramentas com dropper em VBScript, carregadores em arquivo batch, executáveis .NET compilados e uma página de phishing em HTML, tudo apontando, no fim, para um servidor de preparação ativo baseado em WsgiDAV no endereço 207.174.0[.]143:8080", afirmaram os pesquisadores Shikha Sangwan, Akshay Gaikwad e Aaron Beardslee em relatório.
Os ataques bem-sucedidos terminam com a instalação de um agente do ScreenConnect, que se comunica com um dos três servidores de relay controlados pelos invasores e garante acesso remoto persistente aos sistemas comprometidos.
Até agora, a atividade não foi atribuída a nenhum threat actor ou grupo conhecido.
As descobertas reforçam o aumento do uso indevido de ferramentas legítimas de RMM por threat actors, já que esses recursos permitem contornar controles de segurança e se aproveitar da presença comum desses softwares em ambientes corporativos para se misturar às ferramentas autorizadas de TI, sem a necessidade de implantar um trojan de acesso remoto desenvolvido sob medida.
A Securonix informou que a investigação começou após a descoberta de um servidor WsgiDAV ativo, que cumpria dois papéis: preparar os payloads maliciosos e manter o command and control, ou C2, sobre máquinas já infectadas por meio de um relay do ScreenConnect na porta 8041.
A análise das strings de configuração do relay do ScreenConnect embutidas nos payloads MSI e EXE revelou três clusters distintos de C2, cada um associado a binários de isca com temas de atualização de software, revisão de documentos e visualização de documentos.
O vetor inicial de acesso é apontado como spear phishing, com os e-mails servindo de canal para um dropper em Visual Basic Script, ou VBScript, ofuscado, que primeiro executa uma série de verificações de ambiente e anti-análise para garantir uma execução segura.
O script também enumera os processos em execução e interrompe a ação se algum dos seguintes executáveis estiver ativo:
Wireshark (wireshark.exe)
Process Monitor (procmon.exe)
Oracle VM VirtualBox (vboxservice.exe)
Broadcom VMware Tools (vmtoolsd.exe)
Citrix XenServer (xenservice.exe)
Fiddler Classic (fiddler.exe)
Se as verificações do ambiente forem aprovadas, o script prossegue para descriptografar um comando em PowerShell que busca um payload em C# no endereço "207.189.11[.]170" e o executa.
Em outras situações, os ataques foram observados usando iscas com tema corporativo para induzir as vítimas a executar um VBScript que, ao final, leva à instalação do ScreenConnect.
Uma terceira amostra ligada à atividade é distribuída como um arquivo compactado.
A partir dele, um script batch é executado para desativar a Windows Antimalware Scan Interface, ou AMSI, elevar privilégios por meio de um prompt do Controle de Conta de Usuário, ou UAC, desativar proteções do SmartScreen via modificações no Registro e, em seguida, remover o fluxo alternativo de dados Zone.Identifier, ou ADS, do arquivo MSI baixado antes de executá-lo.
"A estratégia de entrega do ator também foi alternada entre vários serviços confiáveis de hospedagem", disse a Securonix.
"Uma página inicial de phishing ('zoom-update.html') entrega o payload por meio de um link compartilhado do Dropbox, contornando filtros de reputação de domínio, já que o Dropbox é uma plataforma permitida na maioria dos ambientes corporativos."
"Um carregador .NET compilado ('MemoryLoader.cs') faz referência a um Cloudflare Quick Tunnel (subscription-magnetic-recommended-meat.trycloudflare.com), um serviço projetado para expor temporariamente servidores locais e que raramente é monitorado.
O próprio servidor de preparação executa cloudflared.exe, confirmando que o ator usa o binário da Cloudflare diretamente em sua infraestrutura para gerar esses túneis efêmeros."
Independentemente da isca de phishing usada, todos os caminhos de ataque levam ao mesmo destino: a instalação do cliente do ScreenConnect, que se conecta a um servidor de relay configurado e permite que o operador abra uma sessão de área de trabalho remota na máquina da vítima.
"O que torna essa campanha especialmente notável para os defensores é a evolução observável das táticas do ator", disse a Securonix.
"Dos droppers em VBScript cautelosamente protegidos por XOR até sequências agressivas de nove etapas para destruir o Defender e, mais recentemente, um retorno à furtividade com timing anti-EDR e pacotes criptografados autocontidos, a campanha parece uma corrida armamentista em tempo real entre invasor e defensor."
Para conter a ameaça, as organizações são orientadas a restringir a execução de arquivos MSI não confiáveis, monitorar quando processos tentarem adulterar produtos de segurança, auditar o uso legítimo de ferramentas de RMM, verificar processos suspeitos de PowerShell e cmd.exe e aplicar configurações rígidas de UAC para impedir que usuários comuns contornem prompts do UAC em tarefas administrativas.
Falsos cheats de Xeno para Roblox entregam malware Java Stealer
A divulgação ocorre no momento em que a Bitdefender alertou para outra campanha em que instaladores falsos do Xeno Executor, promovidos em fóruns de games e comunidades no Discord, são usados para iniciar uma cadeia de infecção em várias etapas com Java, que instala um infostealer capaz de roubo de credenciais, além de coletar cookies do navegador, contas do Discord, Roblox e Minecraft, dados de carteiras de criptomoedas e informações de pagamento.
O stealer, chamado Powercat, também consegue registrar teclas digitadas, acessar a webcam, transmitir a área de trabalho da vítima, manipular arquivos, executar comandos em PowerShell e conceder aos invasores controle interativo sobre o computador infectado.
"O payload final combina roubo de informações, vigilância, persistência, acesso remoto, manipulação de arquivos e execução de comandos", disseram os pesquisadores da Bitdefender, Janos Gergo Szeles e Silviu Stahie.
A atividade é considerada em andamento desde o início de 2026, com um aumento registrado na segunda metade de março.
Alguns aspectos da campanha já haviam sido documentados pela ThreatLocker no fim de março de 2026, destacando o uso, pelo threat actor, de cheats falsos para jogos populares de PC para distribuir o Powercat.
Os chamados cheats chegam em forma de arquivos compactados que imitam uma instalação legítima do Xeno com nomes de arquivos plausíveis.
As vítimas são orientadas a executar um "xeno.exe" que, em vez de iniciar o cheat, executa a primeira etapa do malware.
O payload verifica se há um Java Runtime Environment instalado, extrai um caso ele esteja ausente e, em seguida, lê um arquivo local ("XenoIcon.jpg") contendo as chaves necessárias para validar sua execução com o servidor de C2 ("solthere[.]net").
Depois disso, ele inicia um arquivo JAR ofuscado disfarçado de "decompiler.exe", que realiza verificações de ambiente, registra a vítima e baixa o payload final do malware.
A terceira etapa é um stealer e malware de vigilância baseado em Java que pode coletar dados sensíveis, capturar telas e imagens da webcam, transmitir a área de trabalho da vítima e monitorar a atividade do teclado e do mouse.
Ele também pode baixar e enviar arquivos, executar comandos por meio do PowerShell e abrir um shell interativo para acesso hands-on-keyboard, dando ao invasor controle total sobre o host.
"O roubo de informações pessoais começa com o malware reunindo dados sobre softwares potencialmente interessantes instalados no sistema da vítima", disse a Bitdefender.
"Isso permite que os operadores adaptem sua estratégia e priorizem quais dados devem ser roubados."
As aplicações visadas incluem:
Navegadores web, como Brave Browser, Chrome, Edge, Opera, Opera GX e Vivaldi
Carteiras de criptomoedas, como Atomic, Cake Wallet, Exodus, Monero Wallet, SafePal e Tron Wallet
Ferramentas de desenvolvimento de software, como Git, ferramentas JetBrains, Microsoft Visual Studio e Python IDLE
Launchers de jogos, como Battle.net, Epic Games Launcher, Riot Client, Rockstar Games Launcher e Steam
VPN, como ExpressVPN, Mullvad VPN, NordVPN e Surfshark
Mensageiros, como Discord, Snapchat, Telegram e WhatsApp
Instalações de Roblox e Minecraft, incluindo Feather, Lunar, Meteor, Modrinth, Prism e o launcher oficial do Minecraft
Para atingir carteiras de criptomoedas Exodus, o stealer verifica se a versão 26.1.5 do Exodus está instalada no sistema e, se estiver, descompacta o arquivo "app.asar" e injeta código JavaScript para capturar tokens válidos e exfiltrá-los para o servidor de C2.
"Iscas ligadas a jogos continuam eficazes porque exploram o interesse dos usuários em obter vantagem, acessar funcionalidades restritas ou evitar a detecção por anti-cheat", disse a Bitdefender.
"O malware entregue é muito mais capaz do que um típico infostealer.
Seus recursos de acesso remoto e execução de comandos também significam que a invasão pode continuar além do roubo inicial de informações, o que pode levar à destruição de dados ou permitir que os operadores usem o sistema infectado em outras atividades cibercriminosas."
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...