Um threat actor avançado está abusando do mecanismo de atualização da suíte de networking privado ViPNet para atingir organizações russas, incluindo órgãos governamentais.
Batizada de HelloNet, a campanha está ativa desde pelo menos maio e distribui um payload malicioso que funciona como proxy e loader para outros malwares.
Segundo pesquisadores da Kaspersky, a HelloNet já afetou organizações dos setores de governo, energia, transporte, educação e logística.
O ViPNet é uma família de produtos de segurança da informação desenvolvida pela InfoTeCS, que oferece proteção de VPN, endpoint e acesso à rede, firewall, gerenciamento de certificados, administração centralizada e mensagens e transferência segura de arquivos.
A ferramenta é amplamente usada na Rússia, onde recebe certificação das autoridades para uso em órgãos públicos e outros ambientes regulados.
Por sua ampla presença no mercado russo, especialmente entre organizações de alto valor, o ViPNet costuma ser alvo frequente de hackers.
Em abril de 2025, a Kaspersky relatou que threat actors se passaram por uma atualização do ViPNet em ataques.
Na campanha mais recente, os atacantes colocaram um arquivo malicioso, o wtsapi32.dll, apelidado de HelloInjector, dentro do diretório local do ViPNet Update System para que ele fosse carregado junto com o sistema pelo legítimo itcsrvup64.exe na inicialização.
Essa DLL é o loader da primeira etapa, que injeta código no processo svchost.exe, concedendo aos payloads da fase seguinte privilégios elevados no Windows e persistência após reinicializações.
A Kaspersky não detalha como os atacantes obtiveram acesso inicial para fazer essa alteração de arquivo, nem afirma que a infraestrutura de atualização do próprio ViPNet tenha sido comprometida.
O HelloInjector executa o payload incorporado, que a Kaspersky chamou de HelloProxy, na memória e se comunica com o servidor de command and control (C2) para receber módulos adicionais.
Um desses módulos é o HelloExecutor, um backdoor capaz de executar comandos e realizar reconhecimento da rede no host.
Outro é o HelloCleaner, uma ferramenta que remove dados de log do ViPNet para ocultar a atividade maliciosa.
Há ainda um implante chamado HelloBackdoor, escrito em Rust, com suporte para upload e download de arquivos, além de execução de comandos.
A Kaspersky atribuiu a campanha, de forma preliminar, a um grupo APT de língua chinesa não identificado.
Ainda assim, os pesquisadores destacaram que as evidências são fracas e se baseiam principalmente em uma string não usada que faz referência ao site chinês sina.com e em um espelho de download do malware hospedado pela Universidade de Ciência e Tecnologia da China.
Por esse motivo, a atribuição foi classificada com baixa confiança, e a empresa não descarta a possibilidade de uma operação de falsa bandeira.
A empresa de cibersegurança recomenda monitoramento rigoroso dos sistemas que executam o software ViPNet, especialmente do tráfego que passa pelas portas 5003, 5060, usada pelo HelloProxy, e 443, usada pelo HelloBackdoor.
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...