Mon, 27 Jul 2026
← VoltarO grupo de crimes cibernéticos ligado à China por trás do uso de iscas de phishing relacionadas ao imposto de renda visando contribuintes indianos, profissionais fiscais e empresas financeiras
O grupo de crimes cibernéticos ligado à China, por trás do uso de iscas de phishing relacionadas ao imposto de renda visando contribuintes indianos, profissionais fiscais e equipes de finanças corporativas, foi observado usando um sofisticado serviço de criptografia chamado Cruciferra. De acordo com uma nova análise da Proofpoint, o Cruciferra tem sido utilizado por vários clusters de ameaças cibercriminosas não relacionados para fornecer uma ampla gama de trojans de acesso remoto (RATs) e malware ladrão de informações. “Cruciferra é escrito em Mono e apresenta inúmeras técnicas projetadas para evitar esforços de detecção, análise e resposta a incidentes”, disse a empresa de segurança corporativa em uma análise publicada na semana passada. "Isso inclui o uso de chamadas indiretas de sistema, desengate de API e tabela de endereços de importação (IAT), adulteração de EDR baseada em traga seu próprio driver vulnerável (BYOVD), escalonamento de privilégios, mecanismos de persistência e uma implementação personalizada de Process Ghosting usado para executar cargas úteis enquanto minimiza artefatos forenses." Os criptografadores (também chamados de criptografadores) desempenham um papel importante no ecossistema cibercriminoso, pois permitem que atores mal-intencionados ofusquem suas cargas úteis, evitem a detecção e melhorem as taxas de sucesso na entrega de malware.
Apesar da ênfase na proteção de carga útil, o Cruciferra oferece suporte a várias rotinas de criptografia personalizadas que parecem ser derivadas e montadas dinamicamente a partir de algoritmos criptográficos estabelecidos, introduzindo assim variações entre amostras e complicando a análise estática, bem como as detecções baseadas em assinaturas. “O algoritmo usado para criptografar cargas úteis e strings em cada conjunto de amostras é diferente, e há uma variação tão grande desses algoritmos, o que significa que provavelmente é gerado aleatoriamente (polimorficamente) a partir de elementos de hashing, PRNG e algoritmos de cifra bem conhecidos”, segundo os pesquisadores Chris Wakelin, Georgi Mladenov e Kyle Cucci. O serviço foi anunciado no submundo do crime cibernético como o “criptografador mais letal” por US$ 450 a US$ 2.000 por mês. Ele foi disponibilizado para venda pela primeira vez no outono de 2025.
Algumas das famílias de malware de commodities distribuídas via Cruciferra incluem Agent Tesla, AsyncRAT, DarkCloud Stealer, Formbook, Phantom Stealer, Remcos RAT, Snake Keylogger, ValleyRAT, XLoader, XWorm e zgRAT. As campanhas que utilizam o crypter aproveitaram o phishing como o principal vetor de acesso inicial, com a ferramenta incorporando a flexibilidade de descartar uma carga criptografada no disco ou baixá-la de um servidor de teste. A atividade é avaliada como oportunista, atingindo algo entre centenas e milhares de mensagens por campanha. Os alvos principais incluem os setores de serviços financeiros, saúde, governo, educação e manufatura.
Uma dessas campanhas foi atribuída ao ator de crimes cibernéticos de língua chinesa TA4922, que compartilha algum nível de sobreposição com outro prolífico grupo de ameaças chamado Silver Fox. Isso envolve o emprego de iscas com tema fiscal para levar as vítimas a páginas de destino controladas pelo invasor que hospedam arquivos ZIP para entregar malware. Quatro dessas campanhas foram identificadas entre abril e início de junho de 2026. Vale a pena mencionar aqui que este ataque foi documentado em detalhes no início deste mês pelo Seqrite Labs e Cyderes Howler Cell.
O Seqrite Labs está rastreando a atividade sob o nome de Operação DragonReturn. Outras campanhas que foram observadas usando Cruciferra estão abaixo - Independentemente da campanha, Cruciferra é sempre executado via carregamento lateral de DLL, enquanto aproveita técnicas de evasão e anti-análise para passar despercebido. Isso inclui ocultar janelas do console, desengatar funções da API do Windows para reduzir a visibilidade, chamadas indiretas do sistema, desabilitar notificações do usuário e o abuso do driver "GoFlyDrv.sys" como parte de um ataque BYOVD para encerrar processos de segurança. “Cruciferra verifica se está sendo executado com privilégios de administrador e, caso contrário, tenta elevar seus privilégios ignorando o UAC usando o COM Elevation Moniker”, explicou Proofpoint.
"Além disso, Cruciferra estabelece persistência gravando no registro Software\ Chave Microsoft\Windows\CurrentVersion\Run com um valor padrão de 'putty'. Isso garante que o Cruciferra seja executado após a reinicialização do sistema." A carga útil final é carregada na memória usando uma variante do Process Ghosting, que, em alto nível, se refere a uma técnica avançada de evasão de malware no Windows, onde o código malicioso é executado a partir de um arquivo temporário que é excluído do disco antes do início do processo. Isso, por sua vez, cega os produtos de segurança, pois não há "arquivo" para verificar. "Embora os criptografadores tenham sido usados há muito tempo para evitar a detecção e aumentar as taxas de sucesso de entrega e execução de malware, o Cruciferra se distingue por seus amplos e exclusivos recursos de evasão de defesa, design modular e abordagem altamente personalizada e variada para proteção de carga útil", concluiu Proofpoint.
Saiba como 300 líderes empresariais estão gerenciando riscos de código aberto orientados por IA, dívida de remediação e governança em escala. Aprenda como governar riscos, proteger software construído por IA e manter o controle à medida que o desenvolvimento se move na velocidade da máquina. Receba as últimas notícias, insights de especialistas, recursos exclusivos e estratégias de líderes do setor, tudo gratuitamente.