Campanha SHADOWREACTOR usa malware para acesso remoto persistente

Pesquisadores de cibersegurança revelaram detalhes sobre a campanha SHADOW#REACTOR, que utiliza uma cadeia de ataque em múltiplas etapas para implantar uma ferramenta de administração remota chamada Remcos RAT. O processo de infecção começa com um script em Visual Basic ofuscado, que é executado via wscript.exe e invoca um downloader em PowerShell. Este downloader busca fragmentos de carga útil em um servidor remoto e os reconstrói em carregadores codificados. A execução final é realizada através do MSBuild.exe, um binário legítimo do Windows, que permite a instalação do backdoor Remcos RAT no sistema comprometido.

A campanha é considerada ampla e oportunista, visando principalmente ambientes empresariais e pequenas e médias empresas. Embora a técnica de usar estagios intermediários de texto e PowerShell para reconstrução em memória seja incomum, ela serve para dificultar a detecção e análise do ataque. O uso de mecanismos de auto-reparo garante que a execução não seja interrompida por fragmentos de carga útil incompletos ou corrompidos, reforçando a resiliência do ataque. Os pesquisadores não conseguiram atribuir a campanha a um grupo de ameaças conhecido, mas destacam que as táticas utilizadas são típicas de corretores de acesso inicial que visam lucro financeiro.

Fonte: https://thehackernews.com/2026/01/new-malware-campaign-delivers-remcos.html

Este conteúdo foi processado automaticamente pelo BR Defense Center (By River de Morais e Silva).