Atores de Ameaça Exploraram Documentos Judiciais para Distribuir RAT PureHVNC
A IBM X-Force identificou uma campanha de phishing coordenada que visou usuários colombianos entre agosto e outubro de 2025. Os atacantes utilizaram comunicações judiciais falsificadas para distribuir o Trojan de Acesso Remoto (RAT) PureHVNC por meio do carregador de malware Hijackloader. Essa campanha é significativa, pois representa a primeira vez que o PureHVNC foi direcionado a usuários de língua espanhola e a primeira campanha do Hijackloader focada especificamente em vítimas da América Latina.
O ataque começa com e-mails de phishing que se passam pelo escritório do Procurador-Geral da Colômbia, alegando que um processo judicial está em andamento. Os destinatários são induzidos a baixar um “documento oficial” através de links de arquivos SVG hospedados no Google Drive. Ao clicar, um arquivo ZIP é extraído, contendo um executável protegido por senha. Após a execução, o malware inicia uma cadeia de infecção em várias etapas, culminando na entrega do PureHVNC.
O payload disfarçado como “02 BOLETA FISCAL.exe” é, na verdade, um arquivo javaw.exe renomeado, que utiliza ataques de DLL side-loading. O Hijackloader implementa técnicas sofisticadas para evitar a detecção, como chamadas de API indiretas e verificações anti-virtualização. A infraestrutura de comando e controle utiliza domínios DuckDNS para a entrega de comandos. A PureHVNC está disponível em fóruns underground, tornando-a acessível a diversos atores de ameaça na América Latina.
Fonte: https://cyberpress.org/purehvnc-rat-2/
Este conteúdo foi processado automaticamente pelo BR Defense Center (By River de Morais e Silva).