O NightLedger marca uma nova evolução das campanhas de espionagem conduzidas pelo grupo iraniano Nimbus Manticore, demonstrando que as APTs (Advanced Persistent Threats) continuam sofisticando suas técnicas para permanecer invisíveis por longos períodos. Em vez de apenas comprometer sistemas para roubar informações, a operação agora transforma as próprias vítimas em infraestrutura para novos ataques, dificultando a atribuição e ampliando significativamente o alcance da campanha.
A descoberta, divulgada por pesquisadores da Kaspersky, revela uma cadeia de infecção que combina engenharia social, DLL sideloading, tunelamento via WebSocket, abuso da API Microsoft Graph e um método particularmente criativo de comunicação com servidores de comando e controle (C2): esconder instruções em eventos do Calendário do Microsoft 365 programados para o ano de 2050.
O resultado é uma campanha que evidencia como os grupos patrocinados por Estados estão migrando para técnicas que exploram serviços legítimos em nuvem, reduzindo a necessidade de infraestrutura própria e tornando a detecção cada vez mais complexa. Para administradores de sistemas, equipes de segurança e profissionais de TI, compreender essa operação é essencial para fortalecer estratégias de defesa.
O backdoor NightLedger e a mecânica do ataque
O backdoor NightLedger foi desenvolvido para estabelecer persistência, coletar informações do ambiente comprometido e executar comandos enviados remotamente pelos operadores do Nimbus Manticore.
A infecção começa com campanhas de phishing altamente direcionadas, normalmente utilizando falsas oportunidades de emprego ou contatos profissionais aparentemente legítimos. As vítimas são induzidas a acessar páginas cuidadosamente clonadas ou baixar arquivos que parecem inofensivos, mas que iniciam toda a cadeia de comprometimento.
Após a execução do arquivo inicial, os invasores utilizam a técnica conhecida como DLL sideloading. Nesse método, um programa legítimo carrega uma biblioteca (DLL) adulterada localizada no mesmo diretório da aplicação, permitindo que código malicioso seja executado sem levantar suspeitas imediatas.
Essa abordagem oferece diversas vantagens aos atacantes:
- Redução de alertas em soluções EDR e antivírus;
- Execução dentro de processos confiáveis;
- Maior persistência no ambiente comprometido;
- Dificuldade adicional para análises forenses.
Depois de instalado, o NightLedger estabelece comunicação com a infraestrutura do grupo e permanece aguardando comandos.
Engenharia social e iscas de recrutamento
Uma das características mais interessantes da campanha é o investimento em engenharia social de alta qualidade.
Em vez de campanhas massivas, o grupo utiliza landing pages espelhadas, perfis falsos e mensagens personalizadas para convencer profissionais de setores estratégicos a participar de supostos processos seletivos.
Essa abordagem aumenta significativamente a taxa de sucesso porque explora um fator humano extremamente difícil de eliminar: a confiança.
Os arquivos distribuídos aparentam ser documentos relacionados à vaga ou aplicações corporativas necessárias para o processo de recrutamento. Na prática, funcionam apenas como porta de entrada para o NightLedger.
Esse modelo também reduz a exposição da operação, já que um número menor de vítimas costuma gerar menos indicadores públicos de comprometimento (IoCs).
Operações de espionagem e controle do host com NightLedger
Depois de comprometido o equipamento, o NightLedger disponibiliza aos operadores um amplo conjunto de funcionalidades.
Entre elas estão:
- Execução remota de comandos;
- Coleta de informações do sistema;
- Captura de telas;
- Gerenciamento de arquivos;
- Upload e download de conteúdo;
- Exfiltração de arquivos específicos, incluindo o NetSetup.log;
- Atualização dinâmica do próprio malware.
A coleta do NetSetup.log chama atenção porque esse arquivo pode conter informações úteis sobre processos de ingresso do equipamento em domínios corporativos, facilitando o mapeamento da infraestrutura da organização.
Ao mesmo tempo, as capturas periódicas de tela permitem acompanhar atividades dos usuários em tempo real, ampliando o valor da espionagem sem exigir técnicas mais invasivas.
Como o NightLedger transforma vítimas em retransmissores com BridgeHead e ArcBridge
Um dos diferenciais técnicos da campanha é o uso das ferramentas BridgeHead e ArcBridge.
Esses componentes deixam de utilizar o equipamento apenas como alvo e passam a empregá-lo como um nó intermediário de comunicação.
Na prática, o computador comprometido funciona como um proxy SOCKS5, encaminhando conexões originadas pelos operadores do grupo.
Para realizar essa comunicação, os desenvolvedores utilizam tunelamento via WebSocket, tecnologia amplamente empregada em aplicações web legítimas para manter conexões persistentes entre cliente e servidor.
O resultado é uma vantagem estratégica importante.
Em vez de o tráfego parecer originado da infraestrutura do grupo atacante, ele passa a surgir do endereço IP pertencente à própria organização comprometida.
Isso produz diversos benefícios para os criminosos:
- Dificulta o rastreamento da origem real do ataque;
- Complica análises de atribuição;
- Permite atingir novos alvos utilizando redes consideradas confiáveis;
- Mascara comunicações maliciosas dentro de protocolos amplamente utilizados.
Essa técnica representa uma evolução significativa em relação aos modelos tradicionais de proxies utilizados por grupos APT.
HOLLOWGRAPH: abuso do Microsoft Graph e do Calendário do Microsoft 365
Outro aspecto inovador da operação está no malware HOLLOWGRAPH.
Em vez de depender exclusivamente de servidores próprios para comunicação C2, o malware utiliza a API Microsoft Graph para explorar recursos legítimos do Microsoft 365.
A ideia é simples, mas extremamente engenhosa.
Os operadores criam eventos no Calendário do Microsoft 365 utilizando datas extremamente distantes — frequentemente no ano de 2050.
Esses eventos não existem para lembrar compromissos.
Na verdade, seus campos armazenam comandos criptografados, identificadores e informações necessárias para controlar os equipamentos comprometidos.
O HOLLOWGRAPH consulta periodicamente o calendário da conta comprometida.
Quando identifica novos eventos, interpreta os dados ocultos como instruções operacionais.
Após executar a tarefa, pode atualizar o conteúdo ou responder utilizando o mesmo canal, estabelecendo uma comunicação bidirecional praticamente invisível para ferramentas tradicionais de monitoramento.
O abuso do Microsoft Graph oferece diversas vantagens aos invasores.
Primeiro, elimina parte da infraestrutura dedicada de comando e controle.
Segundo, mistura o tráfego malicioso com comunicações legítimas do Microsoft 365, tornando extremamente difícil distinguir atividades normais de operações de espionagem.
Terceiro, reduz significativamente o número de indicadores tradicionais que normalmente seriam utilizados para bloquear servidores C2.
Esse tipo de técnica demonstra uma tendência crescente na ciberespionagem moderna: utilizar serviços confiáveis de grandes provedores em nuvem como infraestrutura operacional.
Conclusão e lições de segurança corporativa
A campanha do Nimbus Manticore mostra que a espionagem digital evolui rapidamente para modelos cada vez mais discretos, resilientes e difíceis de detectar. O NightLedger não atua apenas como um backdoor tradicional, mas integra uma arquitetura ofensiva sofisticada que combina engenharia social, DLL sideloading, proxy SOCKS5, WebSocket, Microsoft Graph e o malware HOLLOWGRAPH para criar canais de comunicação altamente furtivos.
Além do roubo de informações, a capacidade de transformar equipamentos comprometidos em retransmissores secretos amplia o impacto da operação, permitindo que os invasores utilizem a reputação e a infraestrutura das próprias vítimas para ocultar atividades maliciosas.
Para organizações modernas, a principal lição é clara: monitorar apenas indicadores clássicos de malware já não é suficiente. É cada vez mais importante correlacionar eventos, analisar comportamentos anômalos, inspecionar o uso de APIs em serviços de nuvem e adotar soluções capazes de identificar abuso de aplicações legítimas.