[ Início ]

Pesquisadores de cibersegurança sinalizaram duas novas famílias de malware [1] denominadas WordlistLoader e SynkLoader, usadas para entregar payloads de próximo estágio e, provavelmente, vender acesso a grupos de ransomware.

A primeira, WordlistLoader, foi observada por pesquisadores da Gen Threat Labs distribuindo o Amatera Stealer (também rastreado como ACR Stealer ou AcridRain Stealer) por meio de campanhas ClearFake.

A segunda, SynkLoader, foi identificada em uma campanha de phishing conduzida via Microsoft Teams, na qual atores de ameaça se passam pelo “IT Service Desk” para induzir vítimas a instalar um MSI malicioso.

WordlistLoader e Amatera Stealer

A cadeia observada [2] começa com sites legítimos comprometidos, onde visitantes encontram um prompt de CAPTCHA falso como parte da técnica ClearFake, também conhecida como ClickFix ou FakeCaptcha. A partir daí, o fluxo identificado segue esta lógica:

A vítima acessa um site comprometido e clica na caixa “Não sou um robô”.

Um JavaScript malicioso, injetado como blob Base64 ou hospedado via EtherHiding em contratos inteligentes de blockchain, copia um comando para a área de transferência.

O usuário é instruído a pressionar Win + R, colar o comando na caixa Executar do Windows e pressionar Enter.

O comando usa conhost.exe --headless para iniciar um processo cmd.exe oculto, mapeia um compartilhamento WebDAV remoto com pushd e invoca o loader por meio de rundll32.exe.

O WordlistLoader é baixado e executado, reconstruindo o shellcode a partir de uma lista de palavras em inglês ou de UUIDs armazenados em seu próprio corpo.

O shellcode usa um loader reflexivo para descompactar e carregar o Amatera Stealer em memória, reduzindo a quantidade de artefatos deixados no disco.

O uso de palavras em inglês é particularmente relevante porque evita a necessidade de hospedar um script visível em uma URL convencional ou incluir shellcode binário facilmente identificável. O conteúdo malicioso é armazenado como dados aparentemente estáticos dentro do loader, reduzindo sua exposição a controles baseados em assinatura e permitindo que os operadores troquem rapidamente a infraestrutura utilizada.

O Amatera é um stealer de informações para Windows distribuído nessa cadeia com foco em evasão de detecção. A versão 4.3.3-alpha1 identificada pelos pesquisadores apresenta ofuscação estática atualizada, uso de transição WoW64 e trampolins de syscall indiretos x64 gerados dinamicamente por meio da técnica Heaven’s Gate, buscando evitar hooks de EDR.

O WordlistLoader também emprega um mecanismo de bypass de ETW baseado em hardware breakpoints, além de verificações de instância única, tentativas de restaurar funções de módulos do sistema alteradas, e interferência no registro de eventos do Windows. A campanha também apresenta um bypass de criptografia aplicada ao aplicativo (ABE), aparentemente inspirado no Remus Stealer, voltado a contornar proteções associadas a dados protegidos no endpoint.

SynkLoader

Paralelamente, pesquisadores identificaram o SynkLoader, uma segunda família de malware distribuída em uma campanha de phishing pelo Microsoft Teams. Nesse caso, os operadores se passam pelo “IT Service Desk” para induzir vítimas a instalar um componente malicioso e, potencialmente, roubar credenciais de login do Windows.

O fluxo observado segue esta lógica:

Um ator de ameaça usando um endereço de e-mail @.onmicrosoft.com, domínio padrão associado a ambientes Microsoft 365, entra em contato com o alvo se passando por uma equipe de suporte técnico.

A vítima é convencida a baixar e instalar um pacote MSI hospedado em um endpoint de armazenamento do Microsoft Azure, como fileresource.blob.core.windows[.]net.

O instalador se apresenta como “PowerShell Cleaner” e, quando executado, extrai um arquivo ZIP e um script PowerShell.

O script PowerShell é executado em memória, extrai o conteúdo do ZIP e inicia um loader baseado em Python.

O SynkLoader se conecta a um de três domínios de C2 definidos no código, realiza verificações periódicas e aguarda entre 90 e 120 segundos entre as requisições.

As respostas recebidas do C2 são descriptografadas e executadas, permitindo o carregamento de módulos adicionais.

Pelo menos sete módulos diferentes foram identificados na atividade. Embora o objetivo final dos operadores não tenha sido totalmente confirmado, o conjunto de ferramentas pode estar sendo usado para obtenção e comercialização de acesso inicial ou como preparação para operações de ransomware.

Referências

• [1] – WordlistLoader Delivers Amatera via ClickFix, SynkLoader Phishes Windows Passwords
• [2] – Threat Actors Deploy WordlistLoader in Latest Amatera Attacks