Identificam WordlistLoader e SynkLoader, loaders intermédios ligados a corretors de acesso para

Pesquisadores de cibersegurança identificaram duas famílias de malware novas — denominadas WordlistLoader e SynkLoader — empregadas como etapas intermediárias para implantar cargas posteriores e, segundo análise pública, provavelmente vinculadas a operadores que vendem acesso a grupos de ransomware. Os vetores e técnicas observadas combinam engenharia social em páginas web comprometidas (o conhecido abuso de “fake CAPTCHA” ou ClickFix), abuso de CDN legítimas e mecanismos de execução remota que reduzem impressões em disco e evaden detecção.

O que foi confirmado: As intrusões documentadas usam telas de verificação falsas (ClickFix) injetadas em sites legítimos por JavaScript malicioso, instruem a vítima a colar e executar um comando no quadro Executar do Windows, e esse comando lança uma cadeia que acaba descarregando e executando o WordlistLoader; por sua vez, o WordlistLoader reconstruye um shellcode codificado (a partir de palavras em inglês ou blocos tipo UUID), usa técnicas de evasão como breakpoints de hardware para evitar Event Tracing for Windows (ETW) e carrega em memória um stager reflectivo que desemboca em Amatera (também conhecido como ACR/AcridRain Stealer). Em paralelo, SynkLoader foi distribuído através de phishing na Microsoft Teams que induz a baixar um instalador MSI hospedado no Azure Blob; esse instalador executa em memória um conjunto modular (profiler, persistência, PhishLocker para roubar credenciais com um ecrã de bloqueio falso, backconnect, VNC, etc.). Estas constatações foram publicadas por empresas de segurança que observaram as cadeias de infecção e os artefatos em sistemas afetados.

Como funciona tecnicamente (corrente de execução típica): O fluxo ClickFix começa com JavaScript injetado em sites comprometidos. O programa apresenta uma opção “não sou um robô” e, depois do clique, copia um comando malicioso para a área de transferência e indica colar em Executar. Esse comando pode invocar comhost.exe para lançar um cmd.exe "headless" (sem janela visível), mapear um recurso WebDAV remoto usando pushd e depois executar o rundll32.exe para carregar um DLL diretamente do recurso montado sobre HTTPS. O WordlistLoader obtém o shellcode codificado como uma sequência de palavras; um loader reflectivo desempaqueta e executa esse código em memória. Em outros casos observados, a cadeia usa mshta para executar conteúdo HTA remoto que desemboca em VBScript/PowerShell que extrai um JPEG e carrega o payload desde memória, reduzindo rastros em disco. Estes passos coincidem com técnicas documentadas em quadros como MITRE ATT&CK para mshta e execução de comandos locais (https://attack.mitre.org/techniques/T1218/005/ e https://attack.mitre.org/techniques/T1059/003/).

Elementos de evasão e fornecimento: Os atacantes recorreram a dois recursos para resiliência e sigilo. Primeiro, escondem o JavaScript inicial como blobs Base64 e, em alguns casos, descarregam outro JavaScript armazenado em um smart contract de blockchain (técnica que alguns chamam EtherHiding) para poder rodar rapidamente URLs “quemadas”. Segundo, aproveitam CDNs legítimas como jsDelivr para alojar scripts ou PowerShell malicioso; embora a CDN geralmente remova conteúdos maliciosos rapidamente, a combinação com EtherHiding facilita mudanças fechadas de infraestrutura (https://www.jsdelivr.com/).

Quem podem ser afetados: Qualquer usuário que visite os sites comprometidos e siga as instruções do ClickFix (pegar/ejecutar o comando) está em risco. As campanhas usam sites legítimos adesivos com JavaScript malicioso, pelo que não é uma exposição exclusiva de sites dudosas; além disso, funcionários que recebem mensagens aparentemente internas na Microsoft Teams e baixem um MSI sem verificar também estão em risco. As organizações com políticas laxas sobre execução de binários, sem controle de entrada/saída de scripts ou sem proteção EDR avançada, são alvo preferencial.

Consequências práticas: A combinação de loaders reflectivos, execução em memória e persistência modular pode ser traduzida em roubo de credenciais, movimento lateral (através de TrafficRediretor/backconnect), exfiltração de dados e acesso remoto persistente (VNC/RAT). Esses recursos facilitam tanto operações de stealer como a venda de acesso a grupos de ransomware ou operadores de acesso inicial (isto último é uma estimativa baseada na funcionalidade observada, não uma conclusão inequívoca sobre identidade de atores).

O que ainda não é definitivo: Embora as ferramentas e cadeias estejam bem documentadas, a atribuição – quem especificamente opera o WordlistLoader/SynkLoader e se atuam diretamente como grupo de ransomware ou como initial-access corretos – permanece sem confirmação pública conclusiva. Há também incertezas sobre o alcance total de vítimas e o comprimento temporário de campanhas com as variantes atuais.

Recomendações concretas e acionáveis para administradores e usuários: Nunca executar comandos colados a partir de páginas web ou baixar e instalar MSI ou executáveis baseados apenas em mensagens de Teams sem verificar o remetente. Para equipamentos e ambientes corporativos, aplicar essas medidas específicas:

- Bloquear ou restringir o mshta.exe, o rundll32.exe e a execução do PowerShell não gerenciada por políticas de AppLocker ou Windows Defender Application Control (WDAC).

- Desactivar o serviço WebClient em estações de trabalho se não for necessário o WebDAV: executar com privilégios administrativos sc stop WebClient && sc config WebClient start= disabled.

- Implementar regras de lista branca para scripts e controle da execução em memória (EDR que detecte refletores e trampolines WoW64/Heaven's Gate), além de monitorar o uso de conhost.exe e processos child incomuns.

- Aplicar MFA e rotatividade de credenciais se houver suspeita de compromisso; rever tarefas programadas e agentes de persistência após detecção.

- Filtrar e auditar o uso de CDN e repositórios de terceiros na infraestrutura web; monitorar recursos externos carregados por páginas e bloquear JS hospedado em repositórios de terceiros que não sejam de confiança. Rever a integridade de sites corporativos e criar fornecedores de conteúdos.

- Capacitar usuários frente à tática ClickFix: nunca executar instruções que impliquem colar e correr comandos no sistema como “solução” a um CAPTCHA.

Recursos de referência: Para entender as técnicas específicas e a defesa associada, consulte a documentação técnica da Microsoft sobre Event Tracing for Windows (ETW) e mitigações (https://learn.microsoft.com/en-us/windows/win32/etw/about-event-tracing) e as entradas relevantes no MITRE ATT&CK sobre execução via mshta e shells do Windows (https://attack.mitre.org/techniques/T1218/005/ e https://attack.mitre.org/techniques/T1059/003/). Além disso, a gestão de abusos de CDN e o risco de hospedar scripts remotos estão bem documentados pelos próprios serviços como jsDelivr (https://www.jsdelivr.com/).

Em suma, as campanhas recentes mostram uma evolução para cadeias de execução em memória e uso de infraestrutura “resiliente” (CDN e blockchain) para dificultar a remediação. A defesa eficaz combina medidas técnicas (controlo de execução, EDR, bloqueio da WebDAV), gestão de infra-estruturas Web e treinamento específico ao usuário para impedir a ação inicial do ClickFix.