Pesquisadores de cibersegurança identificaram uma campanha de ciberespionagem contra Mianmar que usa iscas com convites para cerimônias de formatura para distribuir um backdoor em Go chamado QUICAgent.
Batizada de Operation QUICSILVER, a campanha foi associada aos setores de governo e tecnologia da informação, segundo a Seqrite Labs. A atividade é atribuída, com confiança moderada, a um threat actor com ligação à China.
A campanha foi observada pela primeira vez em abril de 2026, quando o ataque entregou um arquivo chamado "HolidayNotice.pdf.exe" junto com uma isca que simulava um calendário de feriados públicos entre Bélgica e Mianmar. Dois artefatos posteriores, detectados em junho e julho de 2026, usam um arquivo Virtual Hard Disk (VHD) que ativa a cadeia de infecção.
Dentro do arquivo VHD há um atalho do Windows (LNK) que imita um documento PDF. Ao abrir o arquivo, a vítima vê um PDF isca, um convite oficial para uma cerimônia de formatura escrito em birmanês e que supostamente teria sido enviado pelo Information Technology and Cyber Security Department (ITCSD), órgão vinculado ao Ministério dos Transportes e Comunicações de Mianmar.
O "anúncio" funciona como distração enquanto o atalho aciona discretamente o "ftp.exe", um binário legítimo da Microsoft assinado para Windows, e abusa da opção "-s" para executar comandos armazenados em um arquivo de script local.
"Enquanto a isca é exibida na tela da vítima, o script procura dois arquivos de documento, header.doc e body.doc, armazenados dentro do diretório oculto _rels", disseram os pesquisadores Priya Patel e Kartik Jivani. "Em seguida, ele combina esses dois arquivos com o comando nativo do Windows copy /b para reconstruir o payload da próxima etapa."
O payload é um implante baseado em Golang, batizado de QUICAgent, que executa técnicas de evasão de sandbox antes de se conectar a um servidor de comando e controle (C2). Para isso, ele inclui um atraso aleatório de 100 a 600 milissegundos e executa 1.000 iterações de operações de hash SHA-256 para consumir o tempo limite de execução em ambientes automatizados de sandbox.
O endereço do servidor C2 é obtido de forma dinâmica por meio do envio de uma solicitação HTTP GET a dois domínios do Cloudflare Workers. Depois de recuperado o endereço do C2 ("104.64.211[.]22"), o malware adiciona a porta 443 ao domínio e monta o destino final. A comunicação com o servidor C2 ocorre por QUIC sobre a porta UDP 443.
O primeiro beacon enviado ao servidor também inclui informações básicas sobre o host comprometido. Esse beacon é transmitido a cada cinco segundos, e cada máquina infectada recebe um X-Agent-ID exclusivo para identificar a vítima. O QUICAgent é relativamente simples e oferece cinco comandos para executar ordens, transferir arquivos, navegar por diretórios e alterar o intervalo do beacon.
A persistência é obtida com a criação de um arquivo LNK na pasta de Inicialização do usuário atual no Windows, o que faz com que ele seja executado automaticamente no próximo login.
"A campanha usa uma cadeia de infecção em múltiplas etapas que começa com um arquivo LNK malicioso, abusa do ftp.exe como um LOLBAS para executar a próxima fase, reconstrói o payload a partir de dois arquivos de documento falsos e, por fim, implanta um backdoor personalizado baseado em Go que chamamos de QUICAgent", afirmou a empresa indiana de cibersegurança.
A divulgação ocorre no momento em que o threat actor Mustang Panda, com ligação à China, foi observado usando uma versão atualizada de um backdoor conhecido como COOLCLIENT, capaz de implantar um driver assinado em modo kernel ("Msagent.sys"), de forma semelhante às melhorias em modo kernel identificadas no TONESHELL. Segundo a análise, o backdoor é distribuído por meio do PlugX com DLL sideloading, técnica amplamente explorada pelo grupo de hackers.
O COOLCLIENT oferece uma ampla gama de capacidades, como registro de teclas, roubo da área de transferência, coleta de credenciais, gerenciamento de arquivos, reconhecimento do sistema e extensões baseadas em plugin. Ele foi detectado pela primeira vez em ambiente real em 2022.
"O driver aumenta a furtividade do malware ao ocultar o processo COOLCLIENT, proteger arquivos e entradas de registro relacionadas e impedir que eles sejam inspecionados ou modificados", informou a Kaspersky, acrescentando que detectou a variante atualizada e seu driver associado em intrusões em Mianmar, Mongólia, Paquistão e Rússia.
"Embora o fluxo geral de execução permaneça consistente com variantes do COOLCLIENT documentadas anteriormente, esta amostra introduz um driver em modo kernel que não havia sido documentado antes e amplia de forma significativa as capacidades de furtividade do malware."
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...