Uma investigação conduzida pelo Adversary Pursuit Group (APG), divisão de inteligência da empresa de segurança Blackpoint Cyber, revelou uma nova cadeia de ataques cibernéticos que utiliza um framework de carregamento de código batizado de “HollowFrame”. A ameaça emprega arquivos modificados para ocultar a execução de rotinas maliciosas e utiliza repositórios na nuvem para comandar os equipamentos infectados de forma discreta.
A intrusão, documentada em um relatório publicado em 30 de julho pelos pesquisadores Nevan Beal e Sam Decker, teve como alvo inicial estações de trabalho em um escritório de advocacia. O ataque destacou-se pela fragmentação das etapas operacionais, o que dificulta a identificação por ferramentas tradicionais de monitoramento ao espalhar as ações entre diferentes arquivos de sistema e serviços corporativos.
Do phishing à neutralização de defesas
O vetor inicial consistiu no envio de e-mails de engenharia social direcionados a funcionários específicos. A mensagem continha um link malicioso que redirecionava o alvo para uma página de download hospedada na plataforma Mega, disponibilizando um arquivo compactado protegido por senha.
Dentro do pacote estava um atalho do Windows disfarçado de documento. Ao ser executado, o elemento acionava comandos em ferramentas nativas e legítimas do sistema operacional para decodificar e descarregar sequências de instruções ocultas diretamente na memória RAM.
Antes mesmo de qualquer arquivo malicioso principal ser transferido para a máquina, os invasores executavam um comando crítico para garantir o sucesso da operação. O script elevava os privilégios do processo e inseria exclusões manuais nas configurações do Microsoft Defender, ordenando que o antivírus ignorasse tanto a pasta temporária de trabalho quanto o processo do interpretador de comandos utilizado pelos criminosos.
“Os atores efetivamente prepararam uma via de execução de aparência confiável antes de introduzir o carregador”, destacaram os pesquisadores, em análise técnica divulgada pela Blackpoint Cyber.
O interpretador Python adulterado
Com a varredura de segurança neutralizada, o script descarregava um arquivo compactado estruturado para se parecer com uma distribuição oficial do Python. No entanto, o pacote continha uma alteração estrutural: a biblioteca padrão do interpretador havia sido substituída por um componente desenvolvido externamente que servia apenas para satisfazer as exigências de importação do processo legítimo e transferir o controle para o código malicioso, conhecido como HollowFrame.
O HollowFrame atua como um carregador modular versátil. Ele é capaz de executar cargas secundárias utilizando técnicas avançadas em memória, o que permite que a mesma ameaça altere assinaturas e comportamentos dependendo do equipamento infectado.
O malware também realiza checagens preliminares para verificar se está sendo executado em um ambiente monitorado de análise. São avaliadas métricas como o tempo de atividade do sistema e a movimentação de periféricos.
Para manter o acesso prolongado à rede comprometida, o HollowFrame implantava uma segunda camada de ferramentas baseadas em Rust, rastreadas sob a família Matryoshka. Os pesquisadores identificaram duas variantes distintas com funções complementares: uma focada em conexões diretas via HTTP herdando a reputação de processos legítimos do sistema; e outra que utilizava diretamente a infraestrutura da API do GitHub para ler comandos, publicar relatórios de estado e transferir arquivos de reconhecimento da rede interna.
“A campanha demonstrou um esforço deliberado para mover a execução maliciosa através de componentes cada vez mais confiáveis, obscurecendo a relação entre a ação inicial do usuário e a capacidade final de acesso remoto”, escreveram os especialistas.
Recomendações de defesa
A Blackpoint Cyber alertou que abordagens tradicionais baseadas em alertas isolados falham contra campanhas desse nível, uma vez que nenhum componente individual revela a infecção por si só.
Para mitigar riscos, os especialistas da empresa recomendam monitorar tráfego atípico direcionado a APIs de desenvolvimento originado de processos que não sejam navegadores web, auditar diretórios de bibliotecas dinâmicas e manter rigor sobre exclusões aplicadas em soluções de endpoint.
Até o momento do relatório, plataformas como o GitHub e o Mega não emitiram posicionamentos formais específicos sobre o uso abusivo de suas infraestruturas nesta campanha.
Por falar em segurança digital, criminosos usam redes Wi-Fi modificadas para roubar credenciais de empresas. Siga o TecMundo no X, Instagram, Facebook e YouTube e assine a nossa newsletter para receber as principais notícias e análises diretamente no seu e-mail.