Novo malware RoadK1ll permite acesso furtivo a redes comprometidas
O malware RoadK1ll, um novo implante malicioso identificado, permite que atacantes se movimentem discretamente de um host comprometido para outros sistemas na rede. Desenvolvido em Node.js, ele se comunica por meio de um protocolo WebSocket personalizado, mantendo o acesso contínuo do invasor e facilitando operações adicionais. Descoberto pela Blackpoint, uma provedora de resposta e detecção gerenciada, o RoadK1ll é descrito como um implante leve de tunelamento reverso que se integra à atividade normal da rede, transformando uma máquina infectada em um ponto de retransmissão para o atacante.
O malware não depende de um ouvinte de entrada no host comprometido, estabelecendo uma conexão WebSocket de saída com a infraestrutura controlada pelo atacante, que serve como um túnel para retransmitir tráfego TCP sob demanda. Isso permite que o invasor permaneça indetectado por mais tempo e acesse sistemas internos que não estariam disponíveis externamente. O RoadK1ll suporta múltiplas conexões simultâneas e possui um conjunto limitado de comandos, como CONNECT e DATA, para gerenciar as comunicações. Embora não utilize mecanismos tradicionais de persistência, ele opera enquanto seu processo estiver ativo, destacando uma implementação moderna e eficiente de comunicação encoberta. A Blackpoint também fornece indicadores de comprometimento para ajudar na detecção do malware.
Este conteúdo foi processado automaticamente pelo BR Defense Center (By River de Morais e Silva).