Malware

Analistas de cibersegurança identificaram uma campanha sofisticada que utiliza utilitários do Windows disfarçados como testes de velocidade da Internet, processadores de PDF e interfaces de busca de IA. Esses instaladores, empacotados com Inno-Packer, extraem silenciosamente uma pasta do Node.js e um script JavaScript ofuscado, registrando uma tarefa agendada para executar o script a cada doze horas, enquanto a funcionalidade legítima permanece intacta. Embora os usuários recebam leituras precisas de largura de banda e conversões de PDF, o instalador também implanta um binário do Node.js e um arquivo .js codificado no diretório do aplicativo. A tarefa agendada garante a execução persistente em segundo plano, confirmando que a remoção do componente JavaScript não afeta a funcionalidade principal, evidenciando seu papel como uma porta dos fundos oculta. O script malicioso utiliza uma rotina de decodificação em múltiplas etapas para revelar strings legíveis, realizando consultas ao registro do Windows e enviando dados para um domínio de comando e controle. Organizações devem inspecionar tarefas agendadas e diretórios de instalação para identificar pastas inesperadas do Node.js ou arquivos .js, bloquear domínios conhecidos e implementar assinaturas de detecção para neutralizar esses componentes antes que comandos maliciosos sejam executados.

A equipe de pesquisa de ameaças Socket identificou um sofisticado esquema de ofuscação em um pacote npm malicioso chamado fezbox (versão 1.3.0), publicado sob o alias ‘janedu’. Este pacote, que se apresenta como uma biblioteca utilitária de alto desempenho para JavaScript/TypeScript, esconde um payload em múltiplas camadas projetado para extrair credenciais de cookies do navegador. O ataque utiliza um QR code esteganográfico para embutir código executável, permitindo que o invasor evite análises tradicionais e envie valores de ‘username’ e ‘password’ para um servidor remoto. O fezbox exporta utilitários comuns e, em seu código minificado, contém uma função que ativa apenas em contextos de produção, após um atraso de 120 segundos. O QR code é utilizado para recuperar um script JavaScript que lê cookies específicos, ofuscando os nomes das propriedades e revertendo strings para acessar os valores de credenciais. Embora a maioria das aplicações modernas evitem armazenar credenciais em texto simples em cookies, a técnica inovadora de esteganografia baseada em QR destaca a necessidade de inspeção rigorosa de dependências. Os desenvolvedores devem estar atentos a carregadores dinâmicos inesperados e chamadas de rede pós-instalação.

Um novo ataque cibernético, denominado Operação Rewrite, utiliza um módulo malicioso chamado BadIIS para sequestrar servidores web legítimos que operam com o Internet Information Services (IIS). Observada pela primeira vez em março de 2025, essa campanha de envenenamento de SEO redireciona visitantes desavisados para sites fraudulentos e de malware. A análise indica que os atacantes, presumivelmente de origem chinesa, empregam uma abordagem em duas fases: na fase de envenenamento, o BadIIS intercepta solicitações de crawlers de motores de busca e serve conteúdo malicioso que é indexado, enquanto na fase de redirecionamento, usuários reais são levados a sites controlados pelos atacantes. O BadIIS apresenta várias variantes, incluindo um manipulador ASP.NET e um módulo C# que intercepta erros 404 para injetar páginas de golpe. Para mitigar esses ataques, as equipes de segurança devem auditar listas de módulos do IIS e monitorar conexões de saída para domínios de comando e controle identificados. Ferramentas como Palo Alto Networks podem ajudar a bloquear esses conteúdos maliciosos e interromper comunicações com os atacantes.

Desde o início de 2025, pesquisadores da Check Point identificaram um aumento nas atividades de espionagem cibernética do grupo Nimbus Manticore, que utiliza portais de recrutamento falsos para disseminar malware sofisticado. Inicialmente focado em alvos do setor aeroespacial e de defesa no Oriente Médio, o grupo agora se expande para a Europa Ocidental, mirando empresas de defesa, telecomunicações e aeroespaciais em países como Dinamarca, Suécia e Portugal.

O malware principal, conhecido como MiniJunk, evoluiu para uma variante avançada que utiliza técnicas inovadoras para evitar a detecção. A infecção começa com e-mails de spear-phishing que se passam por recrutadores de grandes empresas, levando as vítimas a páginas de login falsificadas. Após o login bem-sucedido, um arquivo malicioso é entregue, permitindo que os atacantes monitorem as interações e capturem dados sensíveis.

Pesquisadores de cibersegurança descobriram uma campanha de phishing sofisticada que utiliza e-mails de notificação do GitHub para disseminar malware entre desenvolvedores de software. Os atacantes comprometem contas de bots do GitHub, enviando mensagens que imitam alertas legítimos de repositórios, conseguindo assim contornar filtros de e-mail avançados e direcionar suas ações a colaboradores de código aberto em diversas plataformas.

O ataque começa com o acesso não autorizado a contas de bots do GitHub, que têm permissão para gerar notificações automatizadas. Os vetores de comprometimento incluem ataques de phishing, uso de credenciais vazadas e exploração de tokens OAuth fracos. Após a invasão, os atacantes modificam as configurações dos bots para enviar e-mails de phishing que replicam a marca do GitHub, incluindo assinaturas DKIM válidas, o que dificulta a detecção.

Pesquisadores de cibersegurança estão alertando sobre uma campanha de SEO poisoning, conhecida como Operação Rewrite, que parece ser conduzida por um ator de ameaça de língua chinesa. O malware utilizado, chamado BadIIS, tem como alvo principalmente a região do Sudeste Asiático, com foco especial no Vietnã. A técnica de SEO poisoning manipula os resultados de mecanismos de busca para direcionar usuários a sites indesejados, como de jogos de azar e pornografia, visando lucro financeiro. O BadIIS intercepta e modifica o tráfego HTTP, permitindo que os atacantes injetem conteúdo malicioso em sites legítimos. Os atacantes também utilizam uma infraestrutura compartilhada com um grupo identificado como Grupo 9, conforme relatado pela ESET. Além disso, a pesquisa revelou que os atacantes podem criar contas de usuário locais e implantar shells web para acesso remoto persistente. Essa atividade representa um risco significativo, especialmente considerando a possibilidade de comprometer servidores em várias regiões, incluindo o Brasil. A manipulação de resultados de busca pode ter implicações diretas na segurança e na conformidade com a LGPD, tornando essencial que os CISOs brasileiros estejam atentos a essa ameaça.

O GitHub anunciou mudanças significativas em suas opções de autenticação e publicação, em resposta a uma série de ataques à cadeia de suprimentos que afetaram o ecossistema npm, incluindo o ataque Shai-Hulud. As novas medidas visam mitigar ameaças como o abuso de tokens e malware auto-replicante. Entre as alterações, destaca-se a implementação de autenticação de dois fatores (2FA) obrigatória para publicações locais, a limitação da validade de tokens granulares a sete dias e a introdução de uma nova funcionalidade chamada ‘publicação confiável’. Esta última elimina a necessidade de tokens npm, utilizando credenciais específicas de fluxo de trabalho que são criptograficamente autenticadas, garantindo a origem e o ambiente de construção de cada pacote publicado. O ataque Shai-Hulud, que injetou um verme auto-replicante em centenas de pacotes npm, destacou a vulnerabilidade do sistema, ao permitir que segredos sensíveis fossem extraídos de máquinas de desenvolvedores. Além disso, um pacote malicioso chamado fezbox foi identificado, capaz de roubar senhas de navegadores através de uma técnica esteganográfica. Embora o pacote tenha sido removido, ele ilustra a necessidade crescente de ferramentas de verificação de dependências. Essas mudanças são cruciais para aumentar a confiança na cadeia de suprimentos de software e proteger os desenvolvedores contra novas ameaças.

O popular jogo BlockBlasters foi removido da plataforma Steam após a descoberta de que um patch lançado em agosto continha componentes maliciosos que podem roubar informações sensíveis dos jogadores. Desenvolvido pela Genesis Interactive, o jogo recebeu boas críticas após seu lançamento em julho, mas a atualização de 30 de agosto introduziu um malware que comprometeu a segurança de centenas de usuários. A empresa de segurança G DATA identificou que o patch não apenas corrigia bugs, mas implementava uma operação de roubo de informações em múltiplas etapas. O ataque começa com um arquivo chamado game2.bat, que coleta dados como credenciais de login do Steam e informações sobre antivírus instalados. Esses dados são enviados para um servidor de comando e controle. O malware também executa scripts em Visual Basic que coletam extensões de navegador e dados de carteiras de criptomoedas. A situação se agravou quando o malware alterou as configurações do Microsoft Defender para evitar a detecção. Após a remoção do jogo, especialistas em segurança alertam os jogadores a desinstalarem o BlockBlasters e realizarem varreduras completas em seus sistemas, além de monitorarem suas contas de criptomoedas para atividades suspeitas.

Desde abril de 2025, um grupo de hackers desconhecido chamado ComicForm tem realizado uma campanha de phishing direcionada a organizações na Bielorrússia, Cazaquistão e Rússia, conforme análise da empresa de cibersegurança F6. Os alvos incluem setores industriais, financeiros, de turismo, biotecnologia, pesquisa e comércio. Os ataques são realizados por meio de e-mails com assuntos como ‘Aguardando documento assinado’ e ‘Fatura para pagamento’, que incentivam os destinatários a abrir arquivos compactados contendo executáveis maliciosos disfarçados de documentos PDF. Esses executáveis, projetados para evitar a detecção, instalam um malware chamado Formbook, que é utilizado para roubo de dados. Além disso, a análise revelou que o grupo também direcionou ataques a uma empresa no Cazaquistão e a um banco bielorrusso. A F6 identificou e bloqueou e-mails de phishing enviados a empresas de manufatura na Rússia, que redirecionavam os usuários para páginas falsas de login, visando roubar credenciais. O uso de e-mails em inglês sugere que o grupo pode estar mirando organizações em outros países, aumentando a preocupação com a segurança cibernética na região.

Um incidente alarmante ocorreu com o streamer letão Raivo Plavnieks, conhecido como RastalandTV, que teve mais de R$ 170 mil roubados de sua carteira de criptomoedas após baixar o jogo Block Blasters, disponível na plataforma Steam. O jogo, que estava ativo entre 30 de julho e 21 de setembro de 2025, foi inicialmente considerado seguro, mas em 30 de agosto, recebeu um dropper que instalou um aplicativo malicioso em computadores de jogadores. O malware coletava informações sensíveis, como dados de login do Steam e endereços IP, enviando-os para os golpistas. A investigação revelou que até 478 contas de usuários do Steam foram comprometidas, com perdas totais estimadas em até US$ 150.000. O caso destaca a vulnerabilidade de jogadores que possuem criptomoedas e a necessidade de cautela ao baixar jogos, especialmente aqueles com avaliações positivas, mas que podem esconder malwares. A Valve, responsável pelo Steam, ainda não se pronunciou sobre o incidente. Usuários afetados são aconselhados a trocar suas senhas e transferir seus ativos digitais para carteiras mais seguras.

Uma nova campanha de cibersegurança está em andamento, visando usuários do macOS através de páginas fraudulentas no GitHub. A equipe de inteligência de ameaças da LastPass identificou repositórios falsos que imitam empresas legítimas, como gerenciadores de senhas e instituições financeiras. Esses sites, que aparecem nas primeiras posições dos resultados de busca, enganam os usuários a instalarem um software malicioso chamado Atomic Stealer, que coleta credenciais e dados sensíveis. Os atacantes utilizam técnicas de SEO agressivas para aumentar a visibilidade de suas páginas, dificultando a detecção. Quando os usuários clicam nos links de download, são redirecionados para um site que instrui a execução de um comando no Terminal do macOS, que baixa e executa um script malicioso. A LastPass recomenda que os usuários instalem aplicativos apenas de fontes verificadas e que as equipes de segurança monitorem URLs suspeitas. A campanha é uma preocupação crescente, especialmente devido à sua capacidade de evadir controles de segurança básicos e à rápida rotação de contas e repositórios utilizados pelos atacantes.

Recentemente, atores de ameaças associados à Coreia do Norte têm utilizado iscas do tipo ClickFix para disseminar malwares conhecidos como BeaverTail e InvisibleFerret. Essa nova abordagem visa principalmente profissionais de marketing e traders em organizações de criptomoedas e varejo, ao invés de focar em desenvolvedores de software, como era comum anteriormente. O malware BeaverTail, que atua como um ladrão de informações e downloader de um backdoor em Python, foi inicialmente exposto em 2023 e faz parte de uma campanha mais ampla chamada ‘Contagious Interview’.

Pesquisadores de cibersegurança da SentinelOne apresentaram no LABScon 2025 a descoberta do MalTerminal, um malware que incorpora capacidades de Modelos de Linguagem de Grande Escala (LLMs). Este malware, que utiliza a API do OpenAI GPT-4, é capaz de gerar dinamicamente códigos de ransomware ou shells reversos. Embora não haja evidências de que tenha sido utilizado em ataques reais, sua existência representa um marco na evolução das técnicas de ataque, com a introdução de malwares que podem gerar lógica maliciosa em tempo real. Além disso, a pesquisa revelou que criminosos cibernéticos estão utilizando prompts ocultos em e-mails de phishing para enganar scanners de segurança baseados em IA, aumentando a eficácia desses ataques. O uso de ferramentas de IA generativa por cibercriminosos está se tornando uma tendência preocupante, com um aumento nas campanhas de engenharia social que exploram plataformas de hospedagem de sites para criar páginas de phishing. Esse cenário exige atenção redobrada das empresas, especialmente em relação à segurança de suas comunicações eletrônicas e à proteção de dados sensíveis.

A LastPass alertou sobre uma campanha de roubo de informações que está afetando usuários do macOS, utilizando repositórios falsos no GitHub para distribuir programas maliciosos disfarçados de ferramentas legítimas. Os pesquisadores da LastPass identificaram que os repositórios fraudulentos redirecionam as vítimas para um repositório que baixa o malware conhecido como Atomic Stealer. Além do LastPass, outras ferramentas populares como 1Password, Dropbox e Shopify também estão sendo impersonificadas.

A técnica utilizada inclui a otimização de mecanismos de busca (SEO) para posicionar links maliciosos nos primeiros resultados do Bing e Google, levando os usuários a clicar em botões de download que os redirecionam para páginas do GitHub. Essas páginas, criadas por múltiplos usuários para evitar remoções, instruem os usuários a executar comandos no Terminal, resultando na instalação do malware. Campanhas semelhantes já foram observadas anteriormente, utilizando anúncios patrocinados maliciosos e repositórios públicos para distribuir cargas maliciosas. A situação é preocupante, pois o uso de repositórios do GitHub para hospedar malware pode enganar até mesmo usuários mais experientes.

Um grupo de espionagem cibernética vinculado ao Irã, conhecido como UNC1549, está por trás de uma nova campanha que visa empresas de telecomunicações na Europa. A empresa suíça de cibersegurança PRODAFT identificou que o grupo infiltrou 34 dispositivos em 11 organizações localizadas em países como Canadá, França, Emirados Árabes Unidos, Reino Unido e Estados Unidos. Os atacantes se disfarçam como representantes de recursos humanos em plataformas como o LinkedIn, utilizando uma abordagem de recrutamento falsa para enganar funcionários e instalar um backdoor chamado MINIBIKE. Este malware permite a coleta de dados sensíveis, como credenciais do Outlook e informações de navegação. A campanha é caracterizada por um planejamento meticuloso, onde os atacantes realizam reconhecimento extensivo para identificar alvos com acesso elevado a sistemas críticos. Além disso, a operação é apoiada por técnicas avançadas de ofuscação e comunicação, utilizando serviços legítimos de nuvem para evitar detecções. O grupo UNC1549, ativo desde pelo menos junho de 2022, é associado à Guarda Revolucionária Islâmica do Irã e tem como objetivo a coleta de dados estratégicos para espionagem de longo prazo.

Em um recente encontro em São Paulo, Sandra Joyce, VP de Inteligência de Ameaças do Google, destacou que o Brasil se tornou um alvo atrativo para criminosos digitais devido ao seu ambiente financeiro em crescimento e à digitalização. O relatório M-Trends 2025 revelou que o setor financeiro foi o mais atacado globalmente em 2024, representando 17,4% dos incidentes. Os três principais tipos de ataques identificados no Brasil incluem ransomware, malware e golpes financeiros. O ransomware, que sequestra dados e exige resgates, afeta especialmente hospitais. Já o malware, como infostealers, rouba credenciais e informações pessoais, que são vendidas em mercados clandestinos. Além disso, fraudes financeiras relacionadas a bancos e criptomoedas estão em alta. Sandra enfatizou a importância de práticas de segurança, como autenticação multifator e atualizações rápidas de software, para mitigar riscos. O Google também está intensificando a segurança no Android, bloqueando aplicativos de desenvolvedores não confiáveis, uma medida crucial para proteger os usuários brasileiros, que são frequentemente alvos de aplicativos fraudulentos. A vigilância constante e a adoção de soluções de segurança modernas são essenciais para enfrentar essas ameaças.

Um novo relatório da Black Lotus Labs, da Lumen Technologies, revela a existência de uma rede de proxies chamada REM Proxy, que é alimentada pelo malware SystemBC. Este malware transforma computadores infectados em proxies SOCKS5, permitindo que os hosts infectados se comuniquem com servidores de comando e controle (C2) e baixem cargas adicionais. A REM Proxy é uma rede significativa, oferecendo cerca de 20.000 roteadores Mikrotik e uma variedade de proxies abertos disponíveis online. O SystemBC, documentado pela primeira vez em 2019, tem como alvo tanto sistemas Windows quanto Linux, e sua variante para Linux é utilizada principalmente para atacar redes corporativas e dispositivos IoT. A botnet é composta por mais de 80 servidores C2 e cerca de 1.500 vítimas diárias, com 80% delas sendo sistemas de servidores privados virtuais (VPS) comprometidos. A maioria dos servidores afetados apresenta várias vulnerabilidades conhecidas, com uma média de 20 CVEs não corrigidas por vítima. O malware é utilizado por grupos criminosos para realizar atividades maliciosas, como a força bruta de credenciais de sites WordPress, com o objetivo de vender essas credenciais em fóruns underground. O relatório destaca a resiliência operacional do SystemBC, que se estabeleceu como uma ameaça persistente no cenário de cibersegurança.

O ConnectWise ScreenConnect, uma solução popular de Monitoramento e Gerenciamento Remoto, está sendo explorado por cibercriminosos para obter acesso persistente a redes empresariais nos EUA. Pesquisadores identificaram pelo menos oito hosts públicos que distribuem instaladores adulterados do ScreenConnect, que contêm arquivos maliciosos como AsyncRAT e um loader em PowerShell. Os atacantes utilizam um instalador repaginado que, ao ser baixado, busca um pacote ZIP com scripts maliciosos e uma DLL nativa. O ataque é sofisticado, utilizando técnicas como bypass de políticas de execução do PowerShell e injeção de processos para evitar a detecção por antivírus. Além disso, campanhas de phishing têm sido usadas para disseminar esses instaladores, marcando uma mudança estratégica para operações de acesso remoto persistente. Para mitigar esses riscos, é essencial implementar políticas de detecção comportamental e controles de rede que identifiquem padrões de download maliciosos. A adoção de autenticação multifatorial e a auditoria de acessos de terceiros também são recomendadas para proteger as consoles de RMM.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) emitiu um alerta urgente sobre uma campanha de malware sofisticada que explora duas vulnerabilidades recentemente divulgadas no Ivanti Endpoint Manager Mobile (EPMM). As falhas, identificadas como CVE-2025-4427 e CVE-2025-4428, permitem a execução remota de código não autenticado em servidores EPMM locais. Os atacantes utilizam requisições HTTP GET manipuladas para injetar segmentos de código malicioso, contornando defesas baseadas em assinatura. A CISA recomenda que as organizações atualizem imediatamente suas versões do Ivanti EPMM, tratem os sistemas de gerenciamento de dispositivos móveis como ativos de alto valor e implementem regras de detecção para identificar atividades suspeitas. A análise da CISA inclui regras YARA e SIGMA para ajudar na identificação de artefatos maliciosos e comportamentos anômalos. A vigilância contínua e a gestão rápida de patches são essenciais para mitigar essa ameaça ativa.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) divulgou informações sobre duas famílias de malware encontradas na rede de uma organização não identificada, após a exploração de vulnerabilidades no Ivanti Endpoint Manager Mobile (EPMM). As falhas exploradas, CVE-2025-4427 e CVE-2025-4428, permitiram que atacantes contornassem a autenticação e executassem código remotamente. A primeira vulnerabilidade permite o acesso a recursos protegidos, enquanto a segunda possibilita a execução de código arbitrário. Os atacantes conseguiram acessar o servidor EPMM em meados de maio de 2025, utilizando um exploit de prova de conceito. Após a invasão, foram implantados dois conjuntos de arquivos maliciosos que garantiram a persistência e a execução de código arbitrário. Esses arquivos manipulam requisições HTTP para decodificar e executar cargas úteis maliciosas. Para se proteger, as organizações devem atualizar suas instâncias para a versão mais recente e monitorar atividades suspeitas.

Pesquisadores de cibersegurança da ESET identificaram uma colaboração entre os grupos de hackers russos Gamaredon e Turla, ambos associados ao Serviço Federal de Segurança da Rússia (FSB), visando entidades ucranianas. Em fevereiro de 2025, ferramentas do Gamaredon, como PteroGraphin e PteroOdd, foram utilizadas para executar o backdoor Kazuar do grupo Turla em sistemas na Ucrânia. O Kazuar, um malware frequentemente atualizado, é conhecido por sua capacidade de espionagem e coleta de dados. A ESET observou que o PteroGraphin foi usado para reiniciar o Kazuar após falhas, indicando uma estratégia de recuperação. Além disso, em abril e junho de 2025, foram detectadas implantações do Kazuar v2 através de outras ferramentas do Gamaredon. A invasão da Ucrânia pela Rússia em 2022 parece ter intensificado essa colaboração, com foco em setores de defesa. Os ataques têm como alvo informações sensíveis, utilizando técnicas como spear-phishing e arquivos LNK maliciosos. A ESET alerta que a combinação de ferramentas e a troca de informações entre os grupos aumentam o risco para as entidades ucranianas, e a situação requer atenção contínua.

Uma significativa campanha de fraudes publicitárias, denominada SlopAds, foi desmantelada pela Google após a identificação de 224 aplicativos maliciosos na Play Store. Esses aplicativos, que foram baixados mais de 38 milhões de vezes globalmente, eram capazes de gerar até 2,3 milhões de pedidos de publicidade diariamente. A equipe de segurança Satori Threat Intelligence, da empresa HUMAN, revelou que os hackers utilizavam técnicas sofisticadas, como esteganografia, para esconder códigos maliciosos em arquivos de imagem. Os aplicativos funcionavam normalmente quando baixados diretamente da loja, mas, ao serem obtidos via anúncios, baixavam um arquivo de configuração secreto que continha o malware FatModule. Este vírus utilizava WebViews para inundar os dispositivos com anúncios fraudulentos, gerando cliques e visualizações para os criminosos. O Brasil, afetado em 7% dos casos, é um dos países mais impactados, ao lado dos Estados Unidos e Índia. Após o alerta, a Google removeu os aplicativos maliciosos e atualizou o Google Play Protect para alertar os usuários sobre a necessidade de remoção imediata dos apps infectados.

Pesquisadores de cibersegurança identificaram dois novos pacotes maliciosos no repositório Python Package Index (PyPI) que têm como objetivo instalar um trojan de acesso remoto chamado SilentSync em sistemas Windows. Os pacotes, nomeados ‘sisaws’ e ‘secmeasure’, foram removidos do PyPI após a descoberta. O pacote ‘sisaws’ imita um pacote legítimo relacionado ao sistema de saúde argentino, mas contém uma função que baixa malware adicional. Já o ‘secmeasure’ se apresenta como uma biblioteca de segurança, mas também entrega o SilentSync. Este malware é capaz de executar comandos remotamente, exfiltrar dados de navegadores e capturar telas. Além disso, ele pode modificar registros no Windows e arquivos de crontab no Linux, além de registrar LaunchAgents no macOS. A descoberta desses pacotes ressalta o aumento do risco de ataques à cadeia de suprimentos em repositórios de software públicos, onde atacantes podem obter informações pessoais ao se disfarçarem de pacotes legítimos.

Pesquisadores em cibersegurança descobriram um novo loader de malware chamado CountLoader, utilizado por gangues de ransomware russas para entregar ferramentas de pós-exploração, como Cobalt Strike e AdaptixC2, além de um trojan de acesso remoto conhecido como PureHVNC RAT. O CountLoader aparece em três versões: .NET, PowerShell e JavaScript, e tem sido empregado em campanhas de phishing direcionadas a indivíduos na Ucrânia, utilizando iscas em PDF que se passam pela Polícia Nacional da Ucrânia. A versão em PowerShell já havia sido identificada anteriormente pela Kaspersky, que a associou a iscas relacionadas ao DeepSeek. O malware é capaz de reconfigurar instâncias de navegação para forçar o tráfego através de um proxy controlado pelos atacantes, permitindo a manipulação de dados. A versão JavaScript é a mais robusta, oferecendo múltiplos métodos para download de arquivos e execução de binários maliciosos. CountLoader utiliza a pasta de Música da vítima como um local para armazenar o malware e é suportado por uma infraestrutura de mais de 20 domínios únicos. Recentemente, campanhas que distribuem o PureHVNC RAT têm utilizado táticas de engenharia social, como anúncios de emprego falsos, para enganar as vítimas. A interconexão entre grupos de ransomware russos sugere uma adaptação constante às condições do mercado e uma dependência de relações de confiança entre os operadores.

Uma nova versão do malware conhecido como Raven Stealer está rapidamente se espalhando em mercados clandestinos, visando usuários de navegadores baseados em Chromium, como o Google Chrome. Desenvolvido principalmente em Delphi, com módulos centrais em C++, o Raven Stealer se destaca por sua furtividade operacional e interação mínima com o usuário, tornando-se uma ferramenta atraente para atacantes iniciantes e experientes.

O executável do malware, com cerca de 7 MB, incorpora componentes críticos em sua seção de recursos, utilizando um editor de recursos para incluir uma DLL criptografada. Essa DLL é protegida por criptografia ChaCha20, dificultando a análise estática. Durante a execução, o malware injeta a DLL em um processo do Chrome suspenso, permitindo acesso total aos dados do navegador.

Em 2025, o grupo MuddyWater evoluiu suas táticas de ataque, utilizando uma suíte de malware personalizada e multiestágio, focada em furtividade e resiliência. O ataque inicial é realizado por meio de e-mails de spear-phishing que contêm documentos maliciosos do Office. Ao serem abertos, esses documentos executam macros VBA que implantam um loader de primeira fase chamado Fooder. Este loader utiliza APIs criptográficas do Windows para derivar chaves AES e RSA, permitindo a descriptografia de cargas úteis subsequentes diretamente na memória, evitando a detecção por sandboxes.

O grupo de cibercriminosos conhecido como TA558, vinculado a uma nova onda de ataques, está utilizando trojans de acesso remoto (RATs) como o Venom RAT para comprometer hotéis no Brasil e em mercados de língua espanhola. A empresa de cibersegurança Kaspersky identificou que os atacantes estão empregando e-mails de phishing com temas de faturas para disseminar o Venom RAT, utilizando carregadores em JavaScript e downloaders em PowerShell. Um aspecto alarmante é que uma parte significativa do código inicial dos infetores parece ter sido gerada por modelos de linguagem de grande escala (LLMs), indicando uma nova tendência entre grupos de cibercriminosos em usar inteligência artificial para aprimorar suas táticas. O objetivo principal desses ataques é roubar dados de cartões de crédito de hóspedes e viajantes armazenados nos sistemas dos hotéis, além de informações provenientes de agências de viagens online. O Venom RAT, uma ferramenta comercial, é projetado para coletar dados, atuar como um proxy reverso e possui mecanismos de proteção contra desativação, tornando-o um risco significativo para a segurança das informações no setor de hospitalidade.

Em maio de 2025, analistas da Unit 42 identificaram várias campanhas de ataque utilizando o AdaptixC2, um framework de código aberto originalmente desenvolvido para equipes vermelhas, mas agora explorado por atores maliciosos. Com uma arquitetura modular e baseada em plugins, o AdaptixC2 se destacou por sua capacidade de manipulação abrangente de sistemas, incluindo navegação em sistemas de arquivos e execução de programas arbitrários. Os ataques foram realizados através de vetores de infecção distintos, como campanhas de phishing que se faziam passar por suporte técnico via Microsoft Teams, e um instalador PowerShell gerado por IA que injetava código malicioso na memória. O framework permite movimentação lateral discreta em redes segmentadas e utiliza técnicas avançadas para evitar detecções. A Unit 42 observou um aumento no número de servidores de comando e controle (C2) do AdaptixC2, ligando-o a operações de ransomware, o que destaca sua flexibilidade em cadeias de ataque mais amplas. Para mitigar esses riscos, recomenda-se que as defesas monitorem logs do PowerShell e implementem soluções de detecção de ameaças em rede e endpoints.

O grupo de hackers TA415, associado ao governo chinês, intensificou suas operações de ciberespionagem entre julho e agosto de 2025, visando entidades governamentais dos EUA, think tanks e organizações acadêmicas focadas nas relações econômicas entre EUA e China. Utilizando técnicas avançadas de phishing, os atacantes enviaram e-mails disfarçados como comunicações de autoridades americanas, visando especialistas em comércio internacional e políticas econômicas. A abordagem do TA415 inclui o uso de serviços de nuvem legítimos, como Google Sheets e Google Calendar, para comunicações de comando e controle, o que dificulta a detecção por sistemas de segurança tradicionais. A cadeia de infecção começa com arquivos compactados protegidos por senha, que, ao serem executados, instalam um loader Python chamado WhirlCoil. Este malware coleta informações do sistema e as exfiltra para serviços de registro de requisições. A operação do TA415 é considerada uma ameaça significativa, especialmente em um contexto de negociações econômicas entre os EUA e a China, destacando a evolução das táticas de atores patrocinados pelo estado, que agora utilizam infraestrutura de nuvem legítima para manter acesso persistente e evitar detecções.

Uma nova variante do malware BeaverTail, associada a operadores estatais da Coreia do Norte, está sendo utilizada para atacar o setor de varejo e criptomoedas. Desde maio de 2025, os atacantes têm refinado sua infraestrutura de distribuição de malware, utilizando executáveis compilados e iscas de engenharia social através de uma plataforma de contratação falsa. Essa abordagem visa expandir o número de vítimas potenciais, focando em funções de marketing e vendas, ao invés de apenas desenvolvedores de software.

Um grupo de ciberespionagem alinhado à China, conhecido como TA415, foi identificado como responsável por campanhas de spear-phishing que visam o governo dos EUA, think tanks e organizações acadêmicas. Utilizando iscas relacionadas à economia entre EUA e China, o grupo se disfarçou como o presidente do Comitê de Seleção sobre Competição Estratégica entre os EUA e o Partido Comunista Chinês, além do Conselho Empresarial EUA-China. As atividades ocorreram entre julho e agosto de 2025, em um contexto de negociações comerciais entre os dois países. A Proofpoint, empresa de segurança cibernética, relatou que os ataques focaram em especialistas em comércio internacional e política econômica, enviando e-mails falsificados que convidavam os alvos para uma suposta reunião fechada sobre assuntos EUA-Taiwan e EUA-China. Os e-mails continham links para arquivos protegidos por senha, que, ao serem abertos, executavam um script em Python chamado WhirlCoil, estabelecendo um acesso remoto persistente ao sistema comprometido. Este ataque representa uma ameaça significativa, especialmente em um cenário de crescente tensão entre as potências globais.

O XillenStealer é um malware modular baseado em Python que tem se espalhado rapidamente entre cibercriminosos de baixo nível, devido à sua interface intuitiva e capacidades abrangentes de coleta de dados. Publicado no GitHub, ele utiliza funções nativas do Windows e bibliotecas de cookies de navegadores para extrair informações sensíveis, como credenciais de navegadores, carteiras de criptomoedas e tokens de sessões de mensagens. O malware é distribuído com um construtor integrado que facilita a configuração e a compilação em executáveis autônomos.

Pesquisadores de cibersegurança da Check Point descobriram um ecossistema de malware sofisticado, onde atores de ameaças utilizam repositórios do GitHub para hospedar a infraestrutura de comando e controle da família de malwares Pure. O desenvolvedor PureCoder aproveita plataformas legítimas para distribuir ferramentas maliciosas, dificultando a detecção. A investigação revelou uma cadeia de ataque complexa iniciada por técnicas de phishing, onde vítimas eram atraídas por anúncios de emprego falsos. Ao acessar sites maliciosos, comandos PowerShell eram copiados automaticamente para a área de transferência, levando ao download de arquivos JavaScript que implantavam o PureHVNC RAT. Este malware permite controle remoto de máquinas infectadas sem o conhecimento do usuário. Além disso, os repositórios do GitHub continham plugins para manipulação automatizada de redes sociais. A análise técnica revelou técnicas avançadas de anti-análise e criptografia, tornando a detecção ainda mais desafiadora. A descoberta de contas do GitHub com configuração de fuso horário UTC+0300 sugere uma possível origem russa para os desenvolvedores. Essa situação representa um risco significativo para a segurança cibernética, exigindo atenção das autoridades e profissionais de segurança.

Pesquisadores estão alertando sobre a evolução do malware RatOn, que inicialmente clonava pagamentos por aproximação NFC e agora se transformou em um trojan complexo de acesso remoto. Este malware é capaz de realizar fraudes através de sistemas de transferência automatizada, monitorar dispositivos móveis e roubar senhas de aplicativos como WhatsApp e serviços bancários. O RatOn se espalha por meio de links falsos que prometem conteúdo adulto, como um suposto ‘TikTok +18’. Após a instalação, o malware solicita permissões que permitem a instalação de aplicativos de terceiros, evitando as proteções das lojas oficiais. Uma vez ativo, ele pode capturar credenciais, travar o celular e exigir resgates em criptomoedas. Até agora, os ataques foram observados na República Tcheca e Eslováquia, mas a possibilidade de sua chegada ao Brasil é uma preocupação crescente. Para se proteger, recomenda-se não conceder permissões excessivas a aplicativos, utilizar autenticação em duas etapas e evitar links suspeitos.

O grupo de cibercriminosos norte-coreano Lazarus está por trás da campanha hacker chamada Contagious, que utiliza falsas entrevistas de emprego para roubar dados e dinheiro de indivíduos em diversos países. Desde 2023, o grupo tem como alvo candidatos nas indústrias de criptomoedas e blockchain, visando financiar o governo da Coreia do Norte. Os hackers empregam técnicas de engenharia social, como a criação de situações em que as câmeras dos usuários não funcionam, levando-os a baixar malwares disfarçados de atualizações de software. A ferramenta utilizada, chamada ContagiousDrop, é capaz de identificar o sistema operacional do usuário e enviar o malware apropriado. Durante a investigação realizada entre março e junho de 2025, foi revelado que até 230 pessoas foram afetadas por esses ataques, com os criminosos utilizando plataformas de comunicação como Slack para coordenar suas atividades. A pesquisa também indicou que os hackers estão construindo uma base de dados com informações pessoais das vítimas, o que aumenta a gravidade da situação. A conscientização e a vigilância em relação a ofertas de emprego suspeitas são fundamentais para mitigar esses ataques.

Um novo ataque à cadeia de suprimentos afetou pacotes npm mantidos pela conta da CrowdStrike, intensificando a campanha conhecida como “Shai-Halud”. Pesquisadores de segurança descobriram que pacotes da CrowdStrike estavam infectados com um código malicioso que coleta credenciais, injeta fluxos de trabalho não autorizados e exfiltra segredos. O script malicioso, chamado bundle.js, baixa e utiliza o TruffleHog, uma ferramenta legítima, para escanear o sistema em busca de tokens e chaves de API. Após a coleta, o malware cria fluxos de trabalho não autorizados no GitHub e exfiltra os dados para um endpoint específico. A CrowdStrike e os mantenedores do npm estão colaborando para analisar a situação e desenvolver remediações. Organizações que utilizam pacotes comprometidos devem desinstalá-los imediatamente, monitorar publicações no npm e auditar segredos de credenciais. A situação destaca a necessidade urgente de proteger ambientes de desenvolvimento e prevenir a execução de códigos não autorizados.

O grupo de cibercriminosos conhecido como RevengeHotels (TA558) intensificou suas atividades desde 2015, utilizando inteligência artificial para criar campanhas de phishing sofisticadas que distribuem o Trojan de Acesso Remoto VenomRAT. Os ataques têm como alvo principalmente o setor de hospitalidade, com foco em hotéis brasileiros e em mercados de língua espanhola, como Argentina, Chile e México. Os criminosos enviam e-mails fraudulentos, frequentemente em português ou espanhol, que simulam faturas e contêm links para sites de armazenamento de documentos falsos. Ao acessar esses links, os usuários baixam um loader em JavaScript que, por sua vez, executa scripts PowerShell para instalar o VenomRAT. Este malware, que oferece funcionalidades avançadas como controle remoto oculto e exploração de UAC, é projetado para se manter ativo no sistema, desativando o Windows Defender e monitorando processos de segurança. Os especialistas em segurança cibernética alertam que é essencial que as organizações verifiquem a autenticidade de e-mails inesperados e implementem defesas de endpoint para detectar essas ameaças.

Pesquisadores em cibersegurança alertaram sobre uma nova campanha que utiliza uma variante da tática de engenharia social chamada FileFix para disseminar o malware StealC, um ladrão de informações. A campanha se destaca por empregar um site de phishing multilíngue altamente convincente, como uma página falsa de segurança do Facebook, que utiliza técnicas de anti-análise e ofuscação avançada para evitar a detecção. O ataque começa com um e-mail que alerta os usuários sobre a possível suspensão de suas contas do Facebook, levando-os a um site de phishing onde são induzidos a clicar em um botão para apelar da decisão. Ao clicar, os usuários são instruídos a copiar e colar um caminho para um documento em uma barra de endereços do File Explorer, mas na verdade, estão executando um comando malicioso que baixa e executa um script PowerShell. Este script, por sua vez, baixa um carregador que descompacta o código shell responsável por ativar o StealC. A técnica FileFix se diferencia de outras abordagens, como ClickFix, ao explorar uma funcionalidade comum dos navegadores, tornando a detecção mais difícil. A complexidade e o investimento na infraestrutura de phishing demonstram a sofisticação dos atacantes, que buscam maximizar o impacto e a evasão das defesas de segurança.

Desde sua estreia em 2011, o SmokeLoader evoluiu de um downloader simples para um framework modular robusto, utilizado para implantar malware secundário, como ransomware e trojans. Apesar de uma operação conjunta em maio de 2024 que eliminou muitas instâncias do SmokeLoader, novas variantes surgiram em 2025, incorporando técnicas avançadas de evasão que dificultam a detecção. A sequência de infecção do SmokeLoader começa com um stager compacto que injeta o módulo principal no processo explorer.exe, agora com um controle de mutex mais robusto que previne injeções duplicadas. As novas versões utilizam rotinas de ofuscação baseadas em XOR e um protocolo de comunicação RC4 criptografado, dificultando a análise de protocolos. O verdadeiro poder do SmokeLoader reside em sua arquitetura de plugins, que permite o roubo de credenciais de navegadores, senhas de FTP e ataques DDoS. Para combater essa ameaça, a Zscaler ThreatLabz lançou o SmokeBuster, uma ferramenta de sanitização de código aberto que reconhece e elimina as variantes mais recentes do SmokeLoader. A persistência e as contínuas melhorias do SmokeLoader destacam sua natureza como uma ameaça duradoura e em constante evolução.

Pesquisadores de cibersegurança identificaram um novo ataque à cadeia de suprimentos de software que comprometeu mais de 40 pacotes do registro npm, afetando diversos mantenedores. O ataque envolve a injeção de um código JavaScript malicioso em versões comprometidas dos pacotes, que utiliza a função NpmModule.updatePackage para baixar, modificar e republicar pacotes, permitindo a ’trojanização’ automática de pacotes subsequentes. O objetivo principal é escanear máquinas de desenvolvedores em busca de segredos, utilizando a ferramenta TruffleHog, e enviar essas informações para um servidor controlado pelos atacantes. O ataque é capaz de atingir sistemas Windows e Linux. Os pacotes afetados incluem, entre outros, angulartics2, @ctrl/deluge e ngx-color. Os desenvolvedores são aconselhados a auditar seus ambientes e rotacionar tokens npm e outros segredos expostos. Além disso, um alerta de phishing foi emitido para usuários do crates.io, com e-mails fraudulentos tentando capturar credenciais do GitHub. Esse cenário destaca a evolução preocupante das ameaças à cadeia de suprimentos de software, com um mecanismo de auto-propagação que pode comprometer todo o ecossistema.

Uma nova pesquisa conjunta da Red Canary Intelligence e da Zscaler revela que atacantes estão utilizando ferramentas legítimas de monitoramento e gerenciamento remoto (RMM), como ITarian, PDQ Connect, SimpleHelp e Atera, em campanhas de phishing em larga escala. Esses atacantes estão reconfigurando soluções de TI para estabelecer mecanismos de persistência furtiva, evitando a detecção e implantando malware secundário, como ladrões de informações e ransomware.

As campanhas de phishing utilizam técnicas de engenharia social bem conhecidas, sendo as atualizações falsas de navegadores uma das mais eficazes. Em um caso, sites comprometidos de esportes e saúde redirecionaram usuários para páginas fraudulentas de atualização do Chrome. Um overlay JavaScript sofisticado coletou informações dos usuários e os redirecionou para domínios controlados pelos atacantes, onde um instalador malicioso foi baixado.

Um grupo hacker conhecido como WhiteCobra está atacando desenvolvedores por meio de extensões falsas para editores de código como VSCode, Cursor e Windsurf. Essas extensões maliciosas têm como objetivo roubar credenciais de acesso e carteiras de criptomoedas. A descoberta foi feita pelo programador Zak Cole, que teve sua carteira comprometida após instalar uma extensão que parecia legítima, mas que possuía um número de downloads inflacionado artificialmente. Pesquisadores da Koi Security identificaram pelo menos 24 extensões falsas disponíveis em marketplaces oficiais, como o Visual Studio Marketplace e Open VSX. O malware se adapta ao sistema operacional do usuário, utilizando scripts que baixam um software malicioso, como o LummaStealer, em Windows e um binário Mach-O em macOS. O grupo WhiteCobra é descrito como altamente organizado, capaz de lançar ataques em menos de três horas. Para evitar esses golpes, os programadores devem verificar a autenticidade das extensões, desconfiar de nomes que imitam extensões conhecidas e analisar a quantidade de downloads e avaliações positivas em um curto período.

Com a guerra entre Rússia e Ucrânia se arrastando para o final de 2024, o ciberespaço se tornou um campo de batalha crucial, com grupos de hackers pró-russos intensificando suas operações contra indústrias globais. Um grupo identificado como SectorJ149, também conhecido como UAC-0050, está vinculado a ataques sofisticados nos setores de manufatura, energia e semicondutores da Coreia do Sul. As investigações revelaram que esses ataques utilizam malware personalizado adquirido em mercados da dark web, evidenciando a crescente conexão entre conflitos geopolíticos e a interrupção econômica habilitada por ciberataques.

No cenário atual de cibersegurança, o papel do Chief Information Security Officer (CISO) vai além da proteção de tecnologias; ele deve garantir a confiança institucional e a continuidade dos negócios. Recentemente, observou-se um aumento nos ataques direcionados a relações complexas que sustentam as empresas, como cadeias de suprimentos e parcerias estratégicas. Com a ascensão de ataques impulsionados por inteligência artificial e novas regulamentações, as decisões tomadas agora moldarão a resiliência das organizações nos próximos anos.

O grupo de ameaças cibernéticas alinhado à China, conhecido como Mustang Panda, foi identificado utilizando uma versão atualizada de um backdoor chamado TONESHELL e um novo worm USB, denominado SnakeDisk. Segundo pesquisadores da IBM X-Force, o SnakeDisk é projetado para ser executado apenas em dispositivos com endereços IP localizados na Tailândia, onde ele instala o backdoor Yokai. O TONESHELL, documentado pela primeira vez em 2022, é utilizado para baixar cargas úteis adicionais em sistemas infectados, frequentemente através de e-mails de spear-phishing. As variantes mais recentes, TONESHELL8 e TONESHELL9, introduzem comunicação com servidores de comando e controle (C2) através de proxies locais, dificultando a detecção. O SnakeDisk, por sua vez, propaga-se através de dispositivos USB, enganando usuários ao mover arquivos existentes para subdiretórios e renomeando o payload malicioso. A atividade do Mustang Panda, que remonta a pelo menos 2012, destaca a evolução contínua de suas táticas e ferramentas, com um foco particular na Tailândia, o que pode indicar um subgrupo especializado. A IBM X-Force alerta que o grupo mantém um ecossistema de malware robusto e em constante desenvolvimento.

Uma nova campanha de cibersegurança está atacando usuários de língua chinesa através de uma técnica chamada SEO poisoning, que utiliza sites falsos para distribuir malware. Os atacantes manipulam os rankings de busca com plugins de SEO e registram domínios semelhantes a sites legítimos, enganando as vítimas a baixarem software malicioso. Entre os malwares identificados estão HiddenGh0st e Winos, ambos variantes de um trojan de acesso remoto conhecido como Gh0st RAT. A campanha foi descoberta pela Fortinet em agosto de 2025 e redireciona usuários que buscam ferramentas populares como Google Chrome e WhatsApp para sites fraudulentos que instalam malware disfarçado. O malware é projetado para evitar detecções, realizando verificações de antivírus e utilizando técnicas de hijacking para garantir persistência no sistema. Além disso, a Zscaler identificou uma campanha paralela com um novo malware chamado kkRAT, que também visa usuários de língua chinesa. Essa ameaça é particularmente preocupante, pois pode manipular dados de criptomoedas e coletar informações sensíveis. A complexidade e a sofisticação dessas campanhas destacam a necessidade de vigilância constante e precauções rigorosas ao baixar software da internet.

A Microsoft anunciou que está testando uma nova funcionalidade no Microsoft Teams que verifica links enviados em mensagens, alertando tanto quem envia quanto quem recebe. Essa atualização, chamada de ‘Proteção contra URLs Maliciosas para Chat e Canais do Teams’, visa detectar spam, phishing e malware. A tecnologia escaneia as URLs e as compara com bases de dados de inteligência contra ameaças da Microsoft, funcionando para mensagens internas e externas. Os usuários que compartilham links suspeitos receberão um alerta, podendo editar ou deletar a mensagem, enquanto os destinatários verão uma notificação clara sobre o conteúdo suspeito antes de clicar no link. A funcionalidade está disponível em versão de teste nos aplicativos para desktop, Android, iOS e na versão web, e será lançada oficialmente em novembro. Para ativar a checagem de URLs, os administradores devem acessar o Centro de Administração do Teams e selecionar a opção correspondente. Essa iniciativa é um passo importante na luta contra ameaças cibernéticas, especialmente em um ambiente corporativo onde a comunicação digital é essencial.

Um dos maiores ataques a pacotes do npm foi detectado pela Aikido Security, envolvendo 18 pacotes populares, como chalk e debug, que foram comprometidos para roubar carteiras de criptomoedas. O ataque ocorreu após a invasão de um mantenedor confiável, conhecido como qix, que caiu em um golpe de phishing. Esses pacotes, que somam mais de 2 bilhões de downloads semanais, impactaram um grande número de usuários. O malware injetado altera transações de criptomoedas feitas por navegadores, redirecionando fundos para endereços controlados pelos hackers, mesmo que a interface mostre informações corretas. A detecção do ataque foi rápida, ocorrendo em cinco minutos, e a contenção foi realizada em uma hora, minimizando os danos. Especialistas recomendam que desenvolvedores revertam para versões anteriores dos pacotes afetados e monitorem transações de criptomoedas para evitar perdas. Este incidente destaca a vulnerabilidade de ambientes de desenvolvimento e a necessidade de vigilância constante contra ataques de phishing e malware.

Uma nova ferramenta de pentesting chamada Villager, desenvolvida por uma empresa chinesa chamada Cyberspike, tem gerado preocupações significativas na comunidade de cibersegurança. Com cerca de 10.000 downloads em apenas dois meses, a ferramenta utiliza inteligência artificial para automatizar operações de segurança ofensiva, integrando recursos do Kali Linux e do DeepSeek AI. A rápida adoção da ferramenta levanta questões sobre seu uso por atores maliciosos, especialmente considerando que Cyberspike possui laços com círculos de hackers e malware. O relatório da Straiker destaca que a Villager pode seguir o mesmo caminho do Cobalt Strike, uma ferramenta amplamente utilizada por cibercriminosos. Além disso, a falta de um site oficial e o histórico da empresa levantam suspeitas sobre suas intenções. A Villager é acessível gratuitamente no PyPI, o que facilita ainda mais sua disseminação. A situação exige atenção, pois a automação de ataques pode aumentar a eficácia de ameaças persistentes e complexas no cenário global de cibersegurança.

O malware Backdoor.Win32.Buterat representa uma ameaça significativa para redes empresariais e governamentais, utilizando técnicas avançadas de furtividade e comunicação adaptativa para garantir controle a longo prazo sobre sistemas comprometidos. Diferente de malwares comuns que visam destruição rápida ou roubo massivo de dados, o Buterat foca na persistência encoberta e no acesso remoto, permitindo que operadores expandam sua presença, implantem cargas secundárias e coletem informações sensíveis sem serem detectados.

Após ser entregue, geralmente por meio de e-mails de spear-phishing ou downloads de software comprometido, o Buterat inicia sua execução em um ponto de entrada oculto e disfarça suas threads sob processos legítimos do sistema. O uso de chamadas de API ofuscadas e a modificação de chaves de registro garantem que o malware permaneça ativo mesmo após reinicializações. Além disso, a comunicação com o servidor de comando e controle (C2) é criptografada, dificultando a detecção por sistemas de monitoramento de rede.