O grupo de cibercrime ligado à China por trás do uso de campanhas de phishing com temas de imposto de renda, voltadas a contribuintes indianos, profissionais de contabilidade e equipes financeiras corporativas, foi flagrado usando um serviço avançado de criptografia de malware chamado Cruciferra.
Segundo uma nova análise da Proofpoint, o Cruciferra vem sendo utilizado por diferentes grupos criminosos sem relação entre si para distribuir uma ampla variedade de trojans de acesso remoto, os RATs, e malware de roubo de informações.
“Cruciferra foi escrito em Mono e traz inúmeras técnicas projetadas para escapar da detecção, da análise e das ações de resposta a incidentes”, afirmou a empresa de segurança corporativa em um relatório publicado na semana passada.
“Entre elas estão chamadas indiretas de sistema, destravamento de funções de API e da Import Address Table (IAT), adulteração de EDR baseada em bring-your-own-vulnerable-driver (BYOVD), escalonamento de privilégios, mecanismos de persistência e uma implementação personalizada de Process Ghosting para executar payloads com o mínimo possível de vestígios forenses.”
Os crypters, também chamados de cryptors, têm um papel importante no ecossistema do cibercrime porque permitem que agentes maliciosos ofusquem seus payloads, evitem a detecção e aumentem as taxas de sucesso na entrega de malware.
Apesar do foco em proteger payloads, o Cruciferra oferece várias rotinas de criptografia personalizadas que parecem ser derivadas e montadas dinamicamente a partir de algoritmos criptográficos já conhecidos.
Isso cria variações entre amostras e dificulta tanto a análise estática quanto a detecção por assinatura.
“O algoritmo usado para criptografar payloads e strings em cada conjunto de amostras é diferente, e há uma variação tão grande entre esses algoritmos que é provável que eles sejam gerados aleatoriamente, de forma polimórfica, a partir de elementos de algoritmos conhecidos de hash, PRNG e cifra”, explicaram os pesquisadores Chris Wakelin, Georgi Mladenov e Kyle Cucci.
O serviço foi anunciado no submundo do cibercrime como o “crypter mais letal” por valores entre US$ 450 e US$ 2.000 por mês.
Ele começou a ser vendido no outono de 2025.
Entre as famílias de malware distribuídas por meio do Cruciferra estão Agent Tesla, AsyncRAT, DarkCloud Stealer, Formbook, Phantom Stealer, Remcos RAT, Snake Keylogger, ValleyRAT, XLoader, XWorm e zgRAT.
As campanhas que usam o crypter têm recorrido ao phishing como principal vetor de acesso inicial, com a ferramenta oferecendo flexibilidade para gravar um payload criptografado em disco ou baixá-lo de um servidor de preparação.
A atividade é considerada oportunista e pode atingir de centenas a milhares de mensagens por campanha.
Os principais alvos incluem os setores de serviços financeiros, saúde, governo, educação e manufatura.
Uma dessas campanhas foi atribuída ao agente de cibercrime de língua chinesa TA4922, que apresenta alguma sobreposição com outro grupo prolífico de ameaças chamado Silver Fox.
Nesse caso, são usadas iscas temáticas de impostos para levar as vítimas a páginas de destino controladas pelos atacantes, que hospedam arquivos ZIP usados para entregar malware.
Quatro campanhas desse tipo foram identificadas entre abril e o início de junho de 2026.
Vale destacar que esse ataque foi documentado em detalhes no início deste mês pela Seqrite Labs e pela Cyderes Howler Cell.
A Seqrite Labs está monitorando a atividade sob o nome de Operation DragonReturn.
Outras campanhas observadas usando o Cruciferra incluem emails que se passam pela Administração da Seguridade Social dos Estados Unidos (SSA) para entregar XWorm e AdaptixC2 em maio de 2026, além de emails com temas relacionados a percevejos e reclamações de hóspedes, voltados a organizações dos setores de hotelaria e viagens, para entregar zgRAT no fim de junho de 2026.
Independentemente da campanha, o Cruciferra é sempre executado por meio de DLL side-loading, enquanto explora técnicas de evasão e antianálise para operar sem chamar atenção.
Isso inclui ocultar janelas do console, destravar funções da Windows API para reduzir a visibilidade, realizar chamadas indiretas de sistema, desativar notificações do usuário e abusar do driver “GoFlyDrv.sys” como parte de um ataque BYOVD para encerrar processos de segurança.
“O Cruciferra verifica se está em execução com privilégios de Administrador e, se não estiver, tenta elevar seus privilégios contornando o UAC usando o COM Elevation Moniker”, explicou a Proofpoint.
“Além disso, o Cruciferra estabelece persistência ao gravar no registro, na chave Software\\Microsoft\\Windows\\CurrentVersion\\Run, com o valor padrão ‘putty’.
Isso garante que o Cruciferra seja executado após a reinicialização do sistema.”
O payload final é carregado na memória usando uma variante de Process Ghosting, uma técnica avançada de evasão de malware no Windows em que o código malicioso é executado a partir de um arquivo temporário que é apagado do disco antes de o processo começar.
Na prática, isso cega os produtos de segurança, já que não há um “arquivo” para ser analisado.
O Cruciferra adiciona uma camada extra de sofisticação ao aplicar patch em hooks de ZwQueryVirtualMemory e ao tentar adulterar a rotina NtManageHotPatch para ocultar a exclusão do arquivo e neutralizar verificações de integridade.
“Embora os crypters sejam usados há muito tempo para escapar da detecção e aumentar as taxas de sucesso na entrega e execução de malware, o Cruciferra se destaca por suas amplas e exclusivas capacidades de evasão de defesas, pelo design modular e pela abordagem altamente personalizada e variada de proteção de payloads”, concluiu a Proofpoint.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...