Pesquisadores de cibersegurança detalharam uma estrutura de loader em Go, até então não documentada, chamada HollowFrame, além de uma família de malware em Rust rastreada como Matryoshka.
Segundo a Blackpoint Cyber, a sequência de invasão começa com uma mensagem de spear phishing que contém um link para um arquivo compactado criptografado, dentro do qual há um atalho do Windows, o LNK.
Ao executar o arquivo, é acionada uma cadeia de múltiplas etapas que envolve elevação de privilégios, enfraquecimento das proteções do Microsoft Defender e download de payloads adicionais.
O HollowFrame é acionado por meio de um par de DLL side-loading formado pelo binário legítimo do Python, o “python.exe”, e uma DLL maliciosa, a “python311.dll”.
Já o Matryoshka aparece em duas variantes, uma com suporte a comunicação baseada em HTTP e execução de comandos, e outra que usa o GitHub para command and control (C2), incluindo beaconing, atribuição de tarefas, reconnaissance, transferência de arquivos e entrega de payloads secundários.
“Juntos, HollowFrame e Matryoshka deram ao ator um ponto de apoio persistente para execução remota de comandos, reconnaissance do Active Directory, transferência de arquivos e implantação de ferramentas subsequentes”, disseram os pesquisadores de segurança Nevan Beal e Sam Decker.
“Essas capacidades podem apoiar roubo de credenciais, movimento lateral e uma compromissão mais ampla do domínio por meio de ferramentas adicionais entregues após o acesso inicial.”
A empresa de cibersegurança afirmou que a intrusão em múltiplas etapas atingiu dois endpoints de um escritório de advocacia não identificado, com o arquivo LNK se passando por “Case Documents” para induzir a vítima a clicar nele e ativar uma sequência de comandos que usa PowerShell para buscar componentes da próxima fase em um servidor remoto, “2.26.252[.]84”.
O HollowFrame opera como um loader modular e uma estrutura de persistência que oferece suporte a vários métodos para carregar componentes auxiliares, ao mesmo tempo em que realiza verificações antianálise para evitar a execução em ambientes sandbox.
Isso é determinado com base no tempo de atividade do sistema, na memória instalada, na quantidade de arquivos no perfil do usuário e no movimento do cursor.
A persistência é obtida por meio da configuração de uma tarefa agendada.
O loader em Go vem incorporado a um contêiner criptografado, que é então descompactado para iniciar uma segunda cadeia de side-loading e implantar o Matryoshka, na forma de “version.dll”, um backdoor em Rust que se comunica com seu servidor C2, “45.158.196[.]184:8888”, via HTTP para abrir uma shell e entregar ferramentas adicionais.
Uma segunda DLL, “wtsapi32.dll”, recuperada em conexão com a mesma atividade, foi identificada como uma variante do Matryoshka que usa um repositório privado no GitHub, “adioziaete/memio”, para consultar comandos específicos da vítima, enviar resultados e buscar payloads.
“O repositório funcionou como um conjunto de caixas de correio por host, com cada vítima recebendo um diretório dedicado <computer>_<username>”, explicou a Blackpoint.
“Esses diretórios continham beacon.json, cmd.json, result.json e, em alguns casos, uma árvore upload/ para entrega de arquivos.”
“Essa estrutura permitiu ao operador gerenciar tarefas e resultados de endpoints individuais por meio do GitHub sem manter um servidor de comandos personalizado, além de deixar um histórico versionado das alterações no repositório, a menos que os commits associados ou o próprio repositório fossem removidos.”
Ao consultar a API do GitHub com o nome de usuário, foi possível verificar que a conta foi criada em 6 de janeiro de 2023 e que as informações do perfil foram atualizadas mais recentemente em 7 de junho de 2026.
Até o momento, não se sabe quem está por trás da atividade.
“Em toda a cadeia, cada etapa reduziu a quantidade de comportamento malicioso visível na etapa anterior”, observou a Blackpoint.
“Essa separação dificultou a atribuição e a detecção, porque nenhum componente continha a lógica completa da infecção ou a visão integral do C2.”
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...