Grupo Curly COMrades explora virtualização para executar malware

O grupo de cibercriminosos conhecido como Curly COMrades tem utilizado tecnologias de virtualização para contornar soluções de segurança e executar malware personalizado. De acordo com um relatório da Bitdefender, os atacantes ativaram o papel do Hyper-V em sistemas de vítimas selecionadas, implantando uma máquina virtual minimalista baseada em Alpine Linux. Essa configuração oculta, com um espaço em disco de apenas 120MB e 256MB de memória, hospedava um shell reverso chamado CurlyShell e um proxy reverso denominado CurlCat.

Os ataques, que começaram a ser documentados em agosto de 2025, têm como alvo a Geórgia e a Moldávia, com indícios de que o grupo opera alinhado aos interesses da Rússia desde o final de 2023. Ferramentas como RuRat, Mimikatz e um implante modular chamado MucorAgent foram utilizadas para acesso remoto persistente e coleta de credenciais. A análise revelou que a utilização do Hyper-V permitiu aos atacantes isolar o malware em uma máquina virtual, evitando detecções tradicionais de EDR.

Os pesquisadores destacam que a CurlyShell e o CurlCat compartilham uma base de código semelhante, mas diferem na forma como manipulam os dados recebidos. O malware, escrito em C++, conecta-se a um servidor de comando e controle (C2) para executar comandos criptografados, utilizando requisições HTTP para comunicação. Essa abordagem demonstra a adaptabilidade e o controle flexível que os atacantes buscam em suas operações.

Fonte: https://thehackernews.com/2025/11/hackers-weaponize-windows-hyper-v-to.html

Este conteúdo foi processado automaticamente pelo BR Defense Center (By River de Morais e Silva).