Uma sofisticada operação cibernética está utilizando páginas clonadas de download para enganar usuários e distribuir instaladores maliciosos de programas populares. A ofensiva já comprometeu redes corporativas em setores estratégicos como saúde, manufatura, logística, tecnologia, jogos, educação e órgãos governamentais, afetando em especial operações de multinacionais com filiais na Ásia e usuários de língua chinesa. Análises forenses apontam com moderada certeza que o método é consistente com o grupo conhecido como Silver Fox (ou Yinhu).
Clonagem de marcas e entrega dinâmica de arquivos
A porta de entrada do ataque baseia-se em engenharia social. Os invasores criam réplicas quase perfeitas de sites de fabricantes respeitados, incluindo marcas como Razer, Kaspersky, Microsoft Edge, Sejda PDF, Baidu Pan e Calibre, utilizando extensões de domínio como.com.cn e.hl.cn. As páginas exibem botões de download atrativos que redirecionam a vítima para uma infraestrutura centralizada de distribuição.
Um dos aspectos mais engenhosos dessa fase é a geração dinâmica de payloads. O arquivo compactado mantém o mesmo nome para a vítima, mas seu hash criptográfico é alterado a cada solicitação no servidor. Essa técnica frustra defesas estáticas baseadas em assinaturas tradicionais, garantindo que o arquivo baixado pareça inédito para soluções de segurança convencionais.
Vetor alternativo via instalador do Windows
Além dos pacotes executáveis convencionais, a campanha explora o serviço legítimo do Windows Installer (msiexec.exe) em modo incorporado. Dessa forma, a carga maliciosa inicial é gerada e disparada a partir de um componente confiável e assinado do próprio sistema operacional, gravando executáveis em diretórios com permissão de escrita para usuários comuns, como C:UsersPublic.
Persistência oculta e desativação das defesas
Assim que o sistema é comprometido, o artefato malicioso adota nomes de arquivos e caminhos completamente aleatórios para se camuflar no ambiente. Em diversas instâncias, os binários foram configurados para mascarar suas propriedades como drivers de som da Philips ou reutilizar componentes legítimos de atualização de terceiros para baixar fases adicionais a partir de buckets na nuvem Alibaba Cloud.
Para garantir que a ameaça sobreviva à reinicialização da máquina, os operadores criam tarefas agendadas com nomes de processos administrativos comuns (como “Deadline Mission Target”). Essas tarefas executam cargas posicionadas em C:ProgramData em um intervalo cíclico de cerca de 60 segundos.
O malware adota medidas severas para enfraquecer o sistema operacional antes de consolidar o acesso:
- Elevação de privilégios para nível SYSTEM: cria tarefas agendadas pontuais que adicionam exclusões gerais de pastas no antivírus nativo e se autodestroem logo em seguida;
- Inibição de recuperação: executa o comando vssadmin delete shadows para eliminar cópias de sombra de volume e impedir a restauração de arquivos;
- Bloqueio de permissões: altera privilégios de pastas via utilitário icacls, impedindo que usuários convencionais excluam os componentes maliciosos;
- Neutralização do Windows Update: desativa serviços essenciais de atualização do sistema, renomeia bibliotecas DLL e limpa o cache para evitar a aplicação de patches corretivos;
- Injeção de processos: inicia threads remotas em aplicações de software abertas pelo usuário logo após a sua inicialização.
Comunicação com servidores de controle e ações manuais
Os estágios avançados da contaminação estabelecem comunicação com servidores de comando e controle (C2) utilizando portas não padronizadas (como 5090, 7031, 8050 e 28300) e domínios curtos com final.net. Identificou-se que a campanha não opera de forma puramente automatizada: em diferentes ambientes, operadores humanos assumiram o controle das sessões em tempo real, tentando inclusive movimentação lateral pela rede interna através de compartilhamentos SMB (Server Message Block).
Estratégias de mitigação para equipes de segurança
Para mitigar a eficácia desse tipo de invasão, administradores de sistemas devem focar a detecção no comportamento da ameaça em vez de buscar apenas hashes de arquivos estáticos, que sofrem mutação contínua. As principais recomendações de segurança incluem:
- Ativar a proteção contra violações (Tamper Protection), impedindo a gravação de exclusões no registro do sistema mesmo sob privilégios de SYSTEM;
- Monitorar a criação de tarefas agendadas incomuns vinculadas a executáveis em diretórios públicos ou temporários;
- Aplicar regras de redução de superfície de ataque (ASR), bloqueando o uso indevido de ferramentas do sistema e impedindo executáveis não confiáveis;
- Inspecionar e bloquear no gateway da web requisições direcionadas aos domínios clones e padrões de entrega conhecidos;
- Conscientizar colaboradores sobre os perigos do download de utilitários fora das lojas oficiais ou portais corporativos aprovados.
A contenção rápida das máquinas atingidas é fundamental para impedir que invasores consolidem o acesso inicial e avancem lateralmente por ativos críticos da infraestrutura.