Threat actors estão abusando de banners de FTP para ocultar comandos que distribuem dois trojans de acesso remoto até então não documentados, chamados E4del e PINHOLE.
A MalwareHunterTeam observou essa técnica incomum em julho, em um ataque que usava arquivos de atalho (.LNK) e banners de servidores FTP como resolvers de dead drop, ou DDR, para recuperar comandos.
Banners de FTP são cadeias de texto usadas pelo servidor como mensagem de saudação para os hosts que se conectam antes do login.
Ao incorporar comandos na resposta inicial enviada quando um sistema comprometido se conecta a um servidor FTP, um stager de malware pode receber instruções de um servidor remoto.
Depois de descobrir o uso de banners de FTP para entregar comandos maliciosos durante uma investigação, pesquisadores da plataforma de inteligência de ameaças SOCRadar ampliaram a busca e constataram que a técnica continua em uso.
“Usando buscas na FOFA, a SOCRadar determinou que essa técnica vem sendo usada como arma desde o início de julho de 2026 e continua operacional, com nova infraestrutura observada ainda em agosto de 2026.”
Em relatório compartilhado com portais de notícia, a SOCRadar afirma que os ataques observados começam com um arquivo ZIP que dispara uma cadeia de infecção baseada em LNK. Os pesquisadores observam que a violação inicial provavelmente ocorre por meio de phishing.
A cadeia de infecção entrega dois trojans de acesso remoto, ou RATs, chamados E4del e PINHOLE, por duas rotas distintas de infecção, ambas recuperando um script de PowerShell a partir de banners de FTP.
O E4del é um RAT baseado em Node.js, empacotado dentro de uma aplicação Electron assinada digitalmente que se disfarça de Discord.
O RAT permite executar comandos por meio de shells persistentes ou temporários, capturar telas, transmitir a área de trabalho via WebSockets e baixar e executar novos payloads.
A SOCRadar também menciona um módulo Node.js chamado crypto32.node, que tenta fazer escalada de privilégios, mas os pesquisadores não conseguiram recuperá-lo para análise.
Já o PINHOLE obtém sua configuração de C2 a partir de pins do Pinterest e perguntas de pesquisas do SurveyMonkey, uma tática que oferece versatilidade e resiliência contra tentativas de remoção.
O malware deixa uma pegada mínima no host, usando flutuação de shellcode para manter apenas uma seção de 4 KB do payload na memória por vez, e injeta a montagem final em um processo suspenso do ApplicationFrameHost.exe por meio de injeção Early Bird APC.
O PINHOLE suporta 14 comandos, incluindo enumeração de arquivos, upload e download de arquivos, execução de comandos, gerenciamento de processos, captura de telas e implantação de um módulo para roubo de credenciais armazenadas nos navegadores.
No momento da análise, o script do PINHOLE contabilizava apenas 11 eventos de execução, o que sugere que a campanha estava em estágio inicial.
Embora o abuso de banners de FTP para entregar comandos seja uma alternativa nova, a SOCRadar afirma que a abordagem é menos furtiva do que os DDRs tradicionais baseados na web, como X, GitHub e YouTube, porque conexões FTP com servidores desconhecidos tendem a chamar mais atenção.
“Embora threat actors normalmente utilizem serviços legítimos da web, como X, GitHub ou YouTube, para obter cobertura por meio de tráfego de rede alto e esperado, os banners de FTP representam uma alternativa nova.”
Os pesquisadores observam que a técnica é bastante versátil e poderia ser facilmente adaptada para campanhas de engenharia social ClickFix.
O relatório da SOCRadar traz indicadores de comprometimento que podem ajudar defensores a identificar a infraestrutura maliciosa, assim como máquinas infectadas na rede.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...