MuddyWater Implanta Malware Personalizado e Oculta Infraestrutura no Cloudflare

Em 2025, o grupo MuddyWater evoluiu suas táticas de ataque, utilizando uma suíte de malware personalizada e multiestágio, focada em furtividade e resiliência. O ataque inicial é realizado por meio de e-mails de spear-phishing que contêm documentos maliciosos do Office. Ao serem abertos, esses documentos executam macros VBA que implantam um loader de primeira fase chamado Fooder. Este loader utiliza APIs criptográficas do Windows para derivar chaves AES e RSA, permitindo a descriptografia de cargas úteis subsequentes diretamente na memória, evitando a detecção por sandboxes.

Após a execução do Fooder, um backdoor chamado StealthCache é carregado na memória, comunicando-se através de endpoints HTTPS protegidos pelo Cloudflare. Este backdoor é projetado para coletar credenciais e exfiltrar arquivos, utilizando um fluxo de dados alternativo para apagar vestígios de sua presença. Outro componente, o backdoor Phoenix, permite sessões remotas interativas e uploads ou downloads de arquivos de forma discreta. A infraestrutura de comando e controle do MuddyWater é projetada para se misturar com serviços de nuvem legítimos, dificultando a identificação e a mitigação por equipes de segurança.

Para se proteger contra essas táticas, as organizações devem desativar macros VBA, implementar listas de permissões de aplicativos e adotar detecção de comportamento em endpoints. Monitorar o tráfego HTTP e HTTPS em busca de anomalias associadas a domínios hospedados no Cloudflare é essencial para a defesa contra esse tipo de ataque.

Fonte: https://cyberpress.org/muddywater-malware/

Este conteúdo foi processado automaticamente pelo BR Defense Center (By River de Morais e Silva).