Um novo loader-as-a-service (LaaS) russo, com o codinome DOUBLECUP, vem usando iscas do tipo ClickFix para armazenar imagens PNG infectadas com malware no cache do navegador das vítimas e, por fim, entregar o CountLoader e um trojan de acesso remoto até então não documentado, chamado DeviceManager.
A unidade de pesquisa de ameaças da SOCRadar afirma que o DOUBLECUP está em operação desde o início de junho de 2026 e oferece aos clientes licenças e um agente cliente para Windows baseado em Go, usado para criar campanhas maliciosas, gerar o código inserido nas páginas de isca e carregar payloads. Cada licença vem com uma chave exclusiva e metadados como o endereço IP do cliente, dias ativos, rótulo e versão, permitindo orquestrar várias campanhas.
“A primeira etapa deposita uma imagem PNG com esteganografia no cache do navegador, recupera o conteúdo oculto e executa a segunda etapa”, afirmou a SOCRadar em um relatório técnico.
“Essa segunda etapa descriptografa o payload final na memória por meio de um fluxo de cifras SHA-256 personalizado em modo Counter (CTR), junto com XOR bit a bit usando o endereço IP público da vítima como chave criptográfica.”
O serviço assume boa parte da infraestrutura necessária para os ataques. Isso inclui hospedar as imagens PNG com esteganografia, gerenciar endpoints de sessão e sinalização, fornecer chaves de criptografia e reconstruir automaticamente os payloads.
Os clientes do DOUBLECUP ficam responsáveis por criar e hospedar os sites usados para exibir os prompts do ClickFix, adicionar o código de frontend gerado e, se quiserem, implementar medidas extras de ofuscação ou anti-análise.
A SOCRadar informou que a investigação começou a partir de um diretório aberto em “213.139.77[.]109:9090”, que continha vários arquivos de teste posteriormente identificados como parte do painel de licenças do DOUBLECUP. Mais tarde, o mesmo endereço IP foi associado ao painel de licenciamento do serviço.
O cliente de interface gráfica para Windows, também baseado em Go, permite aos operadores atualizar configurações, atualizar o software e emitir comandos diretamente por meio de um Broadcast Pane, enquanto um Payload Builder Pane permite definir o comando acionado por uma isca ClickFix. Para lançar um ataque, o operador configura o domínio, o slug, o método de esteganografia, o tipo de incorporação, o formato do arquivo compactado, a ação e os URLs do payload.
“Isso gera um endpoint de configuração em https://{domain}/{slug}/api/config”, disse a SOCRadar.
“Uma requisição GET para esse endpoint retorna os dados de configuração do DOUBLECUP, que incluem o URL da imagem com esteganografia hospedada no domínio-alvo, o tamanho da imagem, o endpoint de sessão e comandos específicos para Chrome, Edge, Firefox, Brave e Opera.”
Em seguida, os operadores adicionam o código do DOUBLECUP aos sites de ClickFix, que acessam o endpoint /api/config, pré-carregam a imagem esteganográfica no cache do navegador, registram uma sessão e avaliam a string User-Agent para selecionar o payload apropriado. A página então exibe instruções falsas no estilo CAPTCHA, copia automaticamente o comando correspondente ao navegador para a área de transferência da vítima e inicia um mecanismo de polling para o redirecionamento final.
Em um novo relatório, a SOCRadar afirma ter observado campanhas ClickFix do DOUBLECUP usando prompts falsos de CAPTCHA em páginas de login que imitavam NetSuite, Odoo, HubSpot e Salesforce, com o código malicioso carregado por meio de iframes incorporados.
Quando a vítima visita um desses sites, o DOUBLECUP registra a sessão, determina o endereço IP público da vítima e força o navegador a baixar e armazenar em cache uma imagem PNG maliciosa.
Depois de executado, o comando procura no cache do navegador o PNG com base no tamanho exato do arquivo e usa os comandos findstr ou certutil para recuperar e executar o primeiro payload oculto dentro da imagem. Esse componente inicia um dropper de segunda etapa sem arquivo, que obtém o endereço IPv4 público da vítima e o usa como semente para gerar a chave criptográfica necessária para decodificar o payload final. O processo de descriptografia falha em qualquer máquina que não seja o alvo pretendido, pois resultaria em uma chave incorreta.
A cadeia de ataque termina com o stager reconstruindo o payload final e executando-o na memória. A SOCRadar atribui os payloads finais a duas famílias de malware: uma versão atualizada do CountLoader, com variantes para Windows e macOS, e o DeviceManager, um RAT modular até então não documentado.
O CountLoader é usado para coletar informações sobre os sistemas infectados, verificar a presença de aplicações de carteira de criptomoedas e extensões de navegador, identificar se o Signal Desktop está instalado e estabelecer persistência por meio de tarefas agendadas.
O malware também pode baixar e executar arquivos, incluindo pacotes MSI, módulos PowerShell, DLLs, arquivos HTA e arquivos compactados, além de remover mecanismos de persistência. A SOCRadar também recuperou uma versão para macOS compilada para dispositivos Intel e Apple Silicon, que instala um LaunchAgent para persistência e usa utilitários nativos como curl, sw_vers, system_profiler e ioreg para se comunicar com servidores controlados pelos atacantes.
A SOCRadar também observou uma função que varre a área de trabalho e o menu Iniciar em busca de atalhos (.LNK) de navegadores populares e reescreve seus destinos para iniciar o navegador e o RAT em segundo plano, mas a empresa diz que esse recurso nunca foi acionado, sugerindo que pode ser código morto ou uma funcionalidade incompleta em desenvolvimento.
O segundo payload distribuído pela infraestrutura DOUBLECUP é o DeviceManager, um RAT baseado em Python e empacotado como um instalador Inno Setup compilado em Delphi que incorpora o payload criptografado. Ao ser executado, ele extrai um ambiente Python completo para iniciar o malware e evita deliberadamente rodar em máquinas com localidades de idioma da Comunidade dos Estados Independentes (CIS).
“Se uma localidade de idioma CIS for detectada, o DeviceManager executa uma rotina de autodestruição: remove sua tarefa agendada, exclui seu diretório de instalação via cmd.exe e encerra a execução do processo”, disse a empresa de cibersegurança.
O trojan usa EtherHiding para resolver sua infraestrutura de comando e controle (C2), extraindo dinamicamente nós ativos por meio de smart contracts nas blockchains Ethereum e Polygon antes de estabelecer a comunicação. Ele também consegue se comunicar com o servidor por HTTP ou por tunelamento DNS para exfiltrar dados do sistema, consultar tarefas, baixar payloads, enviar resultados de execução de comandos e informar o status das tarefas.
Em países que não fazem parte da CIS, o DeviceManager coleta o GUID da máquina, o identificador do disco, o SID do usuário, o nome do host, o nome de usuário, a versão do sistema operacional, a arquitetura, o software antivírus instalado e informações de domínio. O malware usa registros DNS do tipo A e TXT para roubar informações do sistema, buscar comandos para execução, baixar payloads e enviar o resultado dos comandos de volta aos atacantes. Ele também pode executar scripts em PowerShell e Python, além de repassar comandos emitidos pelo operador para o cmd.exe.
Enquanto isso, um bot do Telegram, @harrypoterlohBOT, é usado para rastrear visitas de clientes, enviar comandos, entregar chaves e receber callbacks de payload por meio de um URL dedicado do DOUBLECUP. Segundo a SOCRadar, o bot é administrado por um threat actor chamado “johnnysilverhe”, que também publicou uma extensão suspeita do Microsoft Visual Studio Code (VS Code), chamada Agent IDE, no marketplace oficial.
Esta não é a primeira vez que ataques ClickFix usam esteganografia. A Huntress já havia documentado campanhas que escondiam payloads do LummaC2 e do Rhadamanthys nos dados de pixels de imagens PNG.
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...