Empresas na Rússia passaram a ser alvo de três grupos de atividade maliciosa monitorados como NightEagle, Hacking Cat e Toy Ghouls, segundo múltiplos relatórios da Kaspersky.
A empresa de cibersegurança afirmou ter identificado ataques conduzidos pelo NightEagle, também conhecido como APT-Q-95, um threat actor ativo desde pelo menos 2023, que emprega novas técnicas de persistência e movimento lateral.
“Na maioria dos incidentes, os invasores usaram credenciais válidas comprometidas para obter acesso às VPN corporativas”, informou a Kaspersky em uma análise publicada hoje. “As conexões de VPN se originaram de endereços IP no segmento russo ligados a túneis do Cloudflare WARP, além de endereços IP associados a provedores europeus de infraestrutura virtual.”
Os ataques, destacados em julho de 2025, envolvem a implantação do GhostContainer, um backdoor modular conhecido que dá aos operadores acesso completo a um Microsoft Exchange Server da vítima, além de permitir a execução de código arbitrário, operações com arquivos e o carregamento de módulos adicionais.
Para escapar da detecção, o malware se disfarça como um componente comum de servidor para se misturar às operações regulares. Ele também pode funcionar como redirecionador de tráfego ou túnel. Ataques anteriores envolvendo o malware tiveram como alvo uma agência governamental e uma empresa de alta tecnologia na Ásia.
“Ele incorpora componentes de vários projetos open source, incluindo o túnel Neo-reGeorg, um exploit para a vulnerabilidade
CVE-2020-0688
e a classe GhostWebShell da ferramenta ysoserial”, explicou a Kaspersky. “Todos esses componentes estão disponíveis publicamente no GitHub.”
O método exato usado pelos invasores para entregar o GhostContainer aos servidores Microsoft Exchange ainda é desconhecido, embora se acredite que tenha envolvido a extração de chaves criptográficas usadas pelo servidor a partir da configuração do ASP.NET, seguida da substituição do parâmetro VIEWSTATE do framework e da injeção de um payload nele, o que faz o backdoor ser carregado na memória.
Para avançar lateralmente dentro da rede interna, o NightEagle foi observado baixando ferramentas de tunelamento para redirecionar o tráfego de rede via RDP usando túneis de desenvolvimento da Microsoft e um programa open source chamado rdp2tcp.
“Para obter privilégios elevados e se mover lateralmente pela rede, o NightEagle explorou diversas vulnerabilidades no Active Directory”, acrescentou a Kaspersky. “Os invasores usaram túneis já estabelecidos para se conectar a sistemas da infraestrutura interna.”
Isso inclui a exploração da
CVE-2019-0708
, também conhecida como BlueKeep, para criar uma conta local no sistema e adicioná-la aos grupos Administradores e Usuários da Área de Trabalho Remota. Além disso, os invasores tentaram se passar pelo controlador de domínio por meio de um ataque DCSync.
O objetivo final é estabelecer persistência na infraestrutura da vítima, obter hashes de senha de contas de domínio, usar tickets Kerberos de longa duração para conseguir acesso legítimo a recursos-alvo e, por fim, invadir controladores de domínio e toda a infraestrutura Active Directory da vítima.
Hacking Cat pró-Ucrânia distribui Gorilla RAT e Monkey ransomware
O segundo grupo a mirar empresas russas é o Hacking Cat, uma entidade hacktivista pró-Ucrânia com histórico de defacement de sites e data breaches desde fevereiro de 2024. Nos últimos meses, porém, o grupo teria mudado de tática e passado a adotar ataques de criptografia e destrutivos.
“O Hacking Cat colabora ativamente com outros hacktivistas, como Cyber Anarchy Squad e Ukrainian Cyber Alliance, o que pode dificultar a atribuição das ferramentas a invasores específicos”, disse a Kaspersky.
Os ataques do grupo exploraram vulnerabilidades em servidores Exchange, como
CVE-2021-26855
e
CVE-2026-42897
, para entregar um trojan de acesso remoto em Go apelidado de Gorilla RAT, capaz de criar túnel de tráfego para permitir que o operador acesse a rede interna da vítima.
Depois de ativado, o malware estabelece conexão com um servidor remoto, registra a vítima e aguarda novas instruções que permitem executar comandos arbitrários, enumerar processos, coletar informações do sistema, enviar e baixar arquivos, além de abrir ou fechar um túnel TCP.
O threat actor também distribui várias variantes de uma família de ransomware chamada Monkey, escritas em Rust, .NET, C++ e Golang, para atingir sistemas Windows, Linux e VMware ESXi. O primeiro artefato do Monkey ransomware remonta ao fim do verão de 2025. O malware também toma medidas para encerrar processos desnecessários e dificultar a recuperação do sistema antes de iniciar a criptografia.
“Uma variante do Monkey ransomware baseada em Rust gera uma chave de 32 bytes e criptografa os arquivos da vítima usando ChaCha20-Poly1305”, disse a Kaspersky. “Algumas variantes não armazenam a chave em lugar nenhum, o que na prática as transforma em um wiper malware completo, embora ainda deixem uma nota de resgate. Outras, por sua vez, armazenam a chave, mas não incluem nenhuma informação de contato na nota.”
Entre os recursos notáveis das outras três variantes, estão os seguintes:
A variante em .NET gera uma chave de 32 bytes, a envia ao servidor de comando e controle (C2) e criptografa os arquivos da vítima usando AES-256-CBC. Ela também consegue elevar privilégios e desativar mecanismos de recuperação do Windows, extrair credenciais do Microsoft Outlook e enviá-las ao servidor C2, excluir arquivos com as extensões .bak, .backup, .bkf e .bck, e se remover após a execução.
A variante em C++ oferece funcionalidades semelhantes, mas também pode estabelecer persistência por meio de uma tarefa agendada ou de uma chave RunOnce no registro, limpar logs do sistema, desativar o registro de eventos, apagar o histórico de comandos do PowerShell e do Prompt de Comando do Windows, burlar o AMSI, desativar o Event Tracing for Windows (ETW), configurar exclusões do Microsoft Defender para o criptografador, fazer alterações no Registro para desabilitar o Gerenciador de Tarefas e o Prompt de Comando do Windows, obter o endereço IP público consultando api.ipify[.]org e ipapi[.]co, e desativar vários mecanismos de backup, banco de dados e recuperação, incluindo o Volume Shadow Copy Service (VSS).
A variante em Golang, usada principalmente contra sistemas Linux e ESXi, estabelece persistência por meio de uma entrada no crontab, desativa SELinux e AppArmor e tenta excluir cópias de sombra de volumes.
“Esta versão [em Golang] também inclui funcionalidade para remover cópias de sombra de volumes, o que não tem utilidade em ambientes Linux e ESXi, um fato que sugere que os invasores foram descuidados e provavelmente usaram IA no desenvolvimento do kit de ferramentas”, especulou a Kaspersky.
O Hacking Cat também teria sido visto atuando em conjunto com o Cyber Anarchy Squad, outro grupo hacktivista pró-Ucrânia, para entregar uma cepa diferente de ransomware chamada ClearWater por meio de um script batch. A avaliação é de que o ClearWater é distribuído em modelo ransomware-as-a-service (RaaS) para grupos hacktivistas pró-Ucrânia.
Em outra operação conjunta com a Ukrainian Cyber Alliance, o threat actor teria implantado um wiper malware chamado Nemo Wiper, que sobrescreve arquivos com bytes aleatórios e preenche o espaço livre remanescente em disco com arquivos de nomes alfanuméricos aleatórios e extensão .lock.
“Diferentes grupos hacktivistas estão usando as mesmas ferramentas desenvolvidas por eles em ataques distintos, incluindo cadeias de infecção em múltiplas etapas”, observou a Kaspersky. “Isso pode indicar a existência de uma fonte comum para essas ferramentas, por exemplo, um desenvolvedor ou um pequeno grupo de desenvolvedores que cria, mantém e modifica o malware, que depois é usado por vários grupos hacktivistas.”
No entanto, após a publicação do relatório, o Hacking Cat afirmou em seu canal no Telegram que “algumas das ferramentas são nossas, mas os lockers definitivamente não são”. O grupo também alegou que a Kaspersky está atribuindo a eles ferramentas de agentes completamente não relacionados e que a empresa deveria “aprender a fazer engenharia reversa de grupos melhor”.
Toy Ghouls distribui backdoor personalizado pela primeira vez
Fechando a lista de grupos que miram organizações russas está o Toy Ghouls, também conhecido como Bearlyfy, Laboo.boo e Feral Wolf, que deixou de usar builders de ransomware vazados da Babuk e da LockBit, passou para seu próprio ransomware personalizado GenieLocker e agora avançou para um backdoor sob medida. O grupo, motivado por ganhos financeiros, é ativo desde 2025.
O backdoor, detectado pela primeira vez em julho de 2026, aparece em duas variantes:
mqtt-bird-agent 0.1.0, que usa o broker MQTT HiveMQ para C2
matrix-bird-agent 0.1.0, que usa o Element, um aplicativo de mensagens com criptografia de ponta a ponta baseado em Matrix, para C2
“Nesta campanha, os invasores usam o Windows Remote Management (WinRM) para entregar os backdoors e seus arquivos de configuração aos sistemas comprometidos”, disse a Kaspersky. “O grupo conta com ferramentas open source como Evil-WinRM e WinRM-fs para fazer isso.”
O backdoor Bird Agent pode ser executado em uma sessão interativa de linha de comando e também pode estabelecer persistência como um serviço do Windows. Depois de iniciado, ele procura um arquivo de configuração (“config.toml”) no mesmo diretório em que está localizado. Alternativamente, o caminho completo do arquivo pode ser especificado pela opção “-c” ou “--config” durante a execução.
O malware então lê o arquivo e o criptografa parcialmente com uma chave derivada do valor MachineGuid da máquina da vítima, armazenado no Registro do Windows, para que a configuração fique vinculada àquele sistema específico. O backdoor interrompe a execução se não conseguir descriptografar a configuração em execuções posteriores.
A configuração, dependendo da variante usada, contém o identificador do cluster usado para se comunicar com o broker MQTT HiveMQ ou o identificador interno da sala do Element, junto com o token de acesso necessário para entrar nessa sala. Se esse parâmetro estiver vazio, o backdoor foi projetado para solicitar o token durante a instalação, e então ele é armazenado.
Uma vez estabelecida a conexão, o backdoor passa a enviar informações do sistema e a fazer requisições HTTP GET ao broker HiveMQ para buscar comandos do servidor C2, executá-los via PowerShell em modo oculto (-NonInteractive -NoProfile -Command) e transmitir os resultados de volta ao servidor.
A variante do Element do Bird Agent é funcionalmente semelhante à da HiveMQ, com a principal diferença de que os comandos recebidos são executados pela interface de linha de comando do Windows (CLI) e o resultado do comando é enviado de volta ao servidor C2.
“As novas ferramentas usam canais incomuns para se comunicar com o servidor C2: o broker MQTT HiveMQ e o mensageiro Element baseado em Matrix”, afirmou a Kaspersky. “Esse afastamento de projetos open source disponíveis publicamente em favor de ferramentas desenvolvidas sob medida sugere que o Toy Ghouls está trabalhando para tornar seus ataques mais sofisticados e dificultar a detecção por mais tempo.”
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...