Pesquisadores de cibersegurança identificaram uma nova atividade maliciosa de um threat actor com vínculos com o Leste Asiático, mirando entidades governamentais no Oriente Médio.
Segundo a Zscaler ThreatLabz, as intrusões levaram à instalação de famílias de malware até então não reportadas, batizadas de TELESHIM, MIXEDKEY e BINDCLOAK.
A empresa afirmou ter detectado a campanha no início deste mês.
“A campanha usou uma cadeia de ataque em várias etapas para estabelecer e manter acesso em sistemas infectados, com o TELESHIM abusando da API do Telegram para comunicações de command and control (C2), de modo a se misturar ao tráfego legítimo da internet”, disse Sudeep Singh, gerente sênior de pesquisa em APT da Zscaler ThreatLabz, em um relatório técnico publicado na semana passada.
A cadeia de ataque começa com um arquivo ISO que contém um executável legítimo, “RegSchdTask.exe”, usado para o side-loading de uma DLL maliciosa, “AsTaskSched.dll”.
Trata-se de um backdoor para Windows de 32 bits chamado TELESHIM, que então usa o Telegram como C2 para buscar os componentes da próxima etapa.
Dois desses payloads são usados para acionar uma segunda cadeia de side-loading de DLL, composta por “GoProAlertService.exe” e “pthreadVC2.dll”.
Nesse estágio, a DLL atua como um reflective loader codinome MIXEDKEY, responsável por descriptografar o conteúdo de “C99F29AC08454855B3D538960BB2F34F.PCPKEY” e executá-lo.
Tanto o TELESHIM quanto o MIXEDKEY foram projetados com técnicas pesadas de ofuscação de código, incluindo criptografia de strings, flattening do fluxo de controle, aritmética booleana mista e predicados opacos, para dificultar esforços de engenharia reversa.
O TELESHIM também emprega um conjunto de métodos para detectar a presença de ambientes de análise baseados em virtualização.
Entre eles estão:
- detecção de hypervisor usando CPUID
- verificação da velocidade da RAM por meio do Windows Management Instrumentation (WMI)
As comunicações de C2 do TELESHIM suportam dois tipos de mensagens:
- mensagens de controle, usadas para registrar o host infectado ao enviar o endereço MAC da máquina, executar comandos recebidos e exfiltrar os resultados de volta ao servidor em blocos, caso a saída ultrapasse 1.000 bytes
- mensagens de download e execução, usadas para baixar e rodar payloads secundários como tarefas agendadas
Um ponto notável do payload final é que ele fica protegido por duas camadas de criptografia XOR.
A segunda camada usa uma técnica chamada environmental keying, ao cifrar o conteúdo com uma chave de descriptografia derivada do número de série do volume da máquina infectada.
O objetivo é fazer com que o malware seja ativado apenas nos alvos pretendidos.
A sequência de ataque culmina com a implantação do BINDCLOAK, um implant de C2 de 64 bits escrito em C++, que se comunica com um servidor externo, “cert.hypersnet[.]com”.
A ThreatLabz observou atividade pós-comprometimento do operador do C2, incluindo comandos de reconhecimento de sistema, usuário e rede, além da entrega de payloads da próxima etapa.
A maior parte dessas ações ocorreu entre 7 de julho de 2026 e 9 de julho de 2026.
Os comandos de C2 foram executados apenas entre 4h e 12h UTC, com a maior concentração da atividade entre 7h e 11h UTC.
Com base no endereço IP público do threat actor, no locale do sistema configurado no servidor Windows, na geolocalização do IP e no horário operacional observado, a avaliação é de confiança moderada a alta de que a campanha seja obra de um adversário originário do Leste Asiático.
Até o momento, ela não foi atribuída a nenhum threat actor ou grupo conhecido.
“A atividade também reflete tendências mais amplas, como evasão de EDR, camuflagem em meio ao tráfego legítimo da internet por meio do abuso de plataformas confiáveis e o uso de técnicas de ofuscação de código, como MBA e CFF, para dificultar a engenharia reversa”, afirmou Singh.
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...