NarwhalRAT a ameaça de APT37 que engana com notificações de segurança e se ativa de arquivos LNK

Uma equipe de espionagem norte-coreana conhecida como ScarCruft (também referida como APT37) tem sido ligada a uma campanha de spear-phishing que suplanta notificações de segurança de contas da Microsoft para induzir as vítimas a abrir um adjunto malicioso que termina instalando um troiano de acesso remoto denominado NarwhalRAT. A técnica não é sofisticada em seu senhô - um e-mail que adverte de “atividade anómala” na geração de senhas de um único uso - mas sim na sua cadeia de execução: um ZIP que contém um arquivo LNK que dispara uma sequência de scripts intermédios e um carregador Python que executa o payload diretamente em memória.

O relevante não é apenas o senheiro social, mas a arquitetura técnica que emprega a campanha. O uso de um executável Python legítimo baixado do seu site oficial e um arquivo CAT como parte do fluxo permite ao atacante fugir de detecções baseadas em simples assinaturas, enquanto a execução em memória dificulta a análise e a identificação por antivírus tradicionais. A persistência é definida por tarefas programadas cujos nomes imitam componentes do Windows, uma tática deliberada para passar despercebidos em auditorias superficiais.

As capacidades atribuídas a NarwhalRAT são próprias de uma operação de recolha de inteligência: registo de teclas, capturas de ecrã em alta resolução, gravação de áudio ambiente, cópia de conteúdo de pastas e meios USB, e execução de comandos remotos. Também incorpora um mecanismo multi--C2 que utiliza tanto sites coreanos como um serviço de armazenamento na nuvem legítimo (pCloud) como canal secundário ou “dead drop resolver”, complicando o bloqueio simples por lista negra de domínios.

Do ponto de vista estratégico, a adopção de NarwhalRAT O APT37 representa um deslocamento em relação a famílias prévias atribuídas ao grupo (como RokRAT) e evidencia vestígios de reutilização de táticas: mesmos senhões com confirmações de eventos ou tickets, uso de LNK comprimidos, e convenções semelhantes nos nomes de tarefas planejadas. Estes padrões ajudam a correlacionar incidentes e contextualizar o seu modus operandi dentro do panorama de ameaças norte-coreanas, descrito por analistas públicos como o MITRE ( https://attack.mitre.org/groups/G0062).

A implicação prática para organizações e usuários é clara: um único clique em um LNK enviado por correio pode iniciar uma cadeia que não deixará artefatos claros em disco e que rapidamente permitirá a exfiltração contínua de informações sensíveis. Além disso, o uso de serviços na nuvem como capa de C2 complica a identificação mediante filtragem de domínios, porque o tráfego pode parecer legítimo à primeira vista. Empresas com operações na península coreana ou com relações políticas e de defesa deveriam considerar esse risco como elevado.

Para reduzir a exposição, as medidas defensivas devem combinar prevenção, detecção e resposta. Na prevenção, é crítico reforçar a proteção do e-mail para bloquear arquivos ZIP com LNK ou inspecioná-los em sandboxes, impor políticas de execução (aplicação de listas brancas e bloqueio de execução de LNK em pastas de descarga) e aplicar MFA robusto para todas as contas privilegiadas. Em detecção, as soluções EDR que monitorizem comportamento em memória, criação de tarefas programadas e chamadas invulgares para APIs de serviços cloud facilitarão a identificação precoce. Em resposta, convém auditar tarefas programadas e pontos de persistência, desligar hosts comprometidos e realizar uma análise forense em memória antes de desligar máquinas.

Além disso, os equipamentos de segurança devem considerar restrições ao nível de rede para serviços cloud não utilizados pela organização, e alertas específicos para padrões de comunicação com APIs de pCloud se o serviço não estiver autorizado no ambiente corporativo. A consciência e o treinamento contínuo frente aos e-mails que apelam à urgência de “segurança de conta” continuam a ser uma barreira básica, mas eficaz; porém, diante de campanhas direcionadas e bem orquestradas, a educação deve ser complementada com controles técnicos e respostas coordenadas.

Se você acha que a sua organização pode ter sido impactada, contacta sua equipe de resposta a incidentes ou provedor de segurança, preserva evidências voláteis e evita reiniciar as equipes até que a análise forense o permita. Para informações técnicas sobre APT37 e táticas comuns consulta fontes de referência como a base de conhecimento do MITRE ( https://attack.mitre.org/groups/G0062) e, se você precisar entender o serviço que os atacantes abusam em seus canais, revisa a documentação pública de pCloud ( https://www.pcloud.com).