Um operador de malware deixou seu servidor de entrega totalmente exposto, e a Rapid7 derrubou todo o kit: 1.048 arquivos reunindo modelos de isca, testes de falsificação de nomes de arquivos, experimentos de execução, droppers, anotações de construção e duas cadeias de campanha.
Uma delas já estava ativa contra usuários do Windows no México e distribuía um infostealer por meio de um site falso de consulta de documentos do governo, usando WebDAV.
O que torna o caso mais relevante do que um simples descarte de payload é o fato de a operação ter sido flagrada ainda em construção.
Havia, no mesmo local, notas de teste, experimentos malsucedidos, documentação e registros de entrega em tempo real, um tipo de trilha completa de desenvolvimento que defensores raramente conseguem observar.
A leitura da Rapid7 sobre os artefatos, inclusive um caminho hardcoded apontando para uma ferramenta de programação com AI de código aberto, indica um operador usando AI generativa para produzir, testar e documentar a entrega de phishing com rapidez.
O conjunto de testes mais avançado girava em torno da
CVE-2025-33053
, classificada com CVSS 8,8 e agora incluída no catálogo KEV da CISA.
Trata-se do sequestro de diretório de trabalho via WebDAV documentado pela Check Point no ano passado, em sua análise sobre o Stealth Falcon.
Pelas evidências, o operador tentava reproduzir a técnica.
O método abusa de um atalho .url para abrir um binário legítimo assinado do Windows enquanto aponta o diretório de trabalho para um compartilhamento WebDAV controlado pelo atacante.
No ataque original, o atalho executava o iediagcmd.exe, uma ferramenta de diagnóstico do Internet Explorer que inicia auxiliares como o route.exe por nome puro.
Com o diretório de trabalho redirecionado para o compartilhamento remoto, o Windows carrega o route.exe do atacante a partir do WebDAV, em vez da versão legítima no System32.
O próprio README do operador afirma que isso funciona sem aviso do SmartScreen ou do Mark-of-the-Web, “SEM qualquer aviso de segurança. Zero alertas!”.
A Microsoft corrigiu a falha em junho de 2025.
As anotações reproduzem tão de perto o material da Check Point que um README recuperado preservou o caminho de exemplo exato summerartcamp[.]net@ssl@443\DavWWWRoot\OSYxaOjr, citado no relatório original.
Depois disso, o operador ampliou os testes.
Um “kit de teste abrangente” expandiu a técnica única para 59 arquivos .url voltados a outros binários assinados, incluindo ferramentas .NET como InstallUtil e RegAsm, entradas de LOLBAS e até candidatos a contornar o UAC, cada um com uma justificativa escrita sobre por que o sequestro deveria funcionar e uma ordem de teste em camadas.
As anotações tratam esses itens como candidatos a serem verificados um a um, e não como sequestros confirmados.
O operador montou esse conjunto por um motivo concreto: o truque original quebra no Windows 11 24H2, onde o Internet Explorer, e portanto o iediagcmd.exe, deixou de existir.
O diretório também continha conjuntos menores de testes para outras duas falhas de manipulação de arquivos, o desvio do MSHTML
CVE-2026-21513
e o vazamento de NTLM CVE-2025-24054, mas o sequestro via WebDAV era a peça central.
A pista está na documentação.
Segundo a Rapid7, os READMEs, os guias de geração de iscas, os textos de teste em formato de matriz e um arquivo _MAPPING.csv que vincula cada arquivo de teste ao binário de destino exibem a formatação padronizada, a verbosidade e a estrutura carregada de emojis que a empresa associa à saída de LLMs.
A mesma leitura se aplica ao JavaScript repleto de emojis no site de phishing.
Os comentários em russo e os nomes de pastas, como uma chamada testik, diminutivo de “teste”, colocam o operador em um contexto de língua russa, mas não permitem identificá-lo.
A Rapid7 atribui a operação a um fluxo de trabalho assistido por LLM, provavelmente construído com ajuda do Coderrr, grafado pela empresa como “CodeRRR”.
Confirmou-se que o repositório é público desde 20 de julho de 2026.
Trata-se de um agente de programação com AI, de uso geral e open source, inspirado em Claude Code, GitHub Copilot CLI e Cursor, e não de uma ferramenta criada para atacantes.
O resumo da Rapid7 é direto: “o atacante usou LLMs para operar mais como uma equipe moderna de produto de software”.
O operador ainda deixou o painel de entrega, uma ferramenta administrativa chamada Simba Service, no mesmo servidor, com a porta padrão e as credenciais inalteradas.
Uma campanha ativa contra usuários mexicanos
O alerta do MDR rastreou a origem até gobf[.]mx, um domínio typosquatting da busca nacional de documentos CURP do governo, que exibia às vítimas uma página falsa de recuperação de registros.
O botão de download acionava uma consulta search-ms:, abrindo o compartilhamento WebDAV do operador no Explorador do Windows filtrado para arquivos .scr.
A isca mais distribuída imitava um relatório em PDF da CURP, mas era um executável .scr, com o nome invertido por meio de um override da direita para a esquerda para parecer um PDF.
Tratava-se de um instalador Inno Setup que descompactava um loader e executava um infostealer em .NET inteiramente na memória, inserido em um processo assinado da Qihoo 360.
O stealer roubava carteiras de criptomoedas, credenciais de navegador, cookies de sessão e sessões do Telegram.
Um segundo diretório de campanha, DlrtyGames, seguia outro caminho, fazendo sideload de uma DLL trojanizada por meio de um binário assinado da Ubisoft para implantar um RAT modular em .NET.
Ao longo de cerca de 5,5 dias, entre 20 e 26 de junho de 2026, em UTC, o painel de entrega registrou 77.098 requisições de 3.892 IPs únicos em 101 países.
O México respondeu sozinho por 82,5% do tráfego e 96,9% da atividade de execução.
Uma única isca da CURP respondeu por 2.384 dos 2.441 eventos de execução, cerca de 97,7%.
Esse número mede alcance de entrega, não infecções.
A Rapid7 contabiliza um “evento de execução” quando o painel vê uma requisição de cliente ou abre um executável do compartilhamento, não quando há confirmação de execução em um endpoint.
Já o tráfego vindo dos Estados Unidos e da Alemanha parecia mais uma varredura do que vítimas.
A atividade também se concentrou no horário comercial mexicano, o que é compatível com usuários reais, e não com scanners automatizados.
Para os defensores, o patch de junho de 2025 fechou o caminho original via iediagcmd.exe, mas o kit com 59 arquivos mostra que o operador está caçando outros binários assinados que se comportem da mesma forma.
A Rapid7 publicou indicadores para as duas campanhas, incluindo endereços de C2 e hashes de arquivos, em seu GitHub; bloqueie esses itens primeiro.
Para o que os IOCs não cobrem, vale observar o comportamento que o alerta captou inicialmente: o serviço WebClient iniciando e a davclnt.dll alcançando um host remoto, um binário assinado gerando um processo filho cujo caminho da imagem fica em um compartilhamento WebDAV ou UNC, e nomes de arquivos usando RTLO, com U+202E, extensões duplas ou preenchimento antes de .exe ou .scr.
A Rapid7 foi contatada para esclarecer a identificação final do payload e o status atual da infraestrutura exposta, e esta reportagem será atualizada caso haja resposta.
A onda de entrega foi curta e perdeu força após 24 de junho.
O que permanece é o método: um operador encaixou ferramentas de programação com AI voltadas ao uso geral, nunca criadas para esse fim, em uma linha de produção repetível para gerar e testar entregas de phishing, pronta para mirar o próximo alvo.
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...