STOCKSTAY: Turla desencadeia um backdoor .NET modular com WebSocket cifrado e evasão por IPC que eleva suas campanhas de alto valor

A ameaça conhecida como Turla, ligada a interesses estatais russos, tem mostrado uma evolução técnica e operacional com o surgimento de um novo backdoor em .NET batizado pelos pesquisadores como STOCKSTAY. Mais do que um simples substituto, STOCKSTAY parece ter sido projetado de zero com uma arquitetura modular e com claras reminiscências do ecossistema KAZUAR, a plataforma que este ator usou e refinado há anos.

STOCKSTAY destaca por três traços técnicos que o tornam especialmente perigoso para objetivos de alto valor: seu desenvolvimento em .NET usando Windows Forms, a comunicação criptografada via WebSocket (implementada com a livraria sitesocket-sharp) e a divisão em vários módulos que se comunicam entre si através de IPC usando mensagens WM_COPYDATA. Essa separação de papéis (descarregador, túnel proxy com WebSocket, controlador e backdoor principal) facilita seu sigilo, sua persistência e substituição ou atualização de componentes individuais sem afetar o conjunto.

Os vetores de entrega observados não são novidade mas eficazes: campanhas de spear-phishing com lures diplomáticos ou acadêmicos, arquivos RAR que exploram vulnerabilidades de WinRAR (mencionada como CVE-2025-8088 em relatórios), anexos RDP maliciosos que estabelecem conexões a infraestrutura controlada pelo atacante, instaladores MSI e HTA hospedados em repositórios públicos ou em sites comprometidos. Além disso, a campanha serviu tanto para obter acesso inicial em ambientes não prévios como para se mover lateralmente e executar o backdoor em máquinas concretas já identificadas pelos atacantes.

De uma perspectiva estratégica, a reutilização de ideias e componentes entre STOCKSTAY e KAZUAR sugere duas possibilidades que envolvem riscos distintos: por um lado, que a mesma ou uma sobreposição cadeia de desenvolvimento mantenha ambos os toolkits; por outro, que Turla esteja empregando uma abordagem laboratorial em produção, testando novas capacidades em operações reais. Em ambos os casos, a modularidade e a tática de usar sites WordPress comprometidos ou repositórios públicos para alojar etapas do ataque aumentam a dificuldade de detecção e atribuição.

As implicações para governos, ministérios e empresas com exposição à política externa são claras: a superfície de ataque centra-se em engenharia social dirigida e em cadeias de entrega que combinam vulnerabilidades e conteúdo legítimo hospedado em terceiros. Isso exige controles que não se limitam a assinaturas estáticas, mas sim a detecção de comportamento, telemetria de rede e correlação de eventos entre correio, endpoint e tráfego saliente.

Para reduzir a exposição e o tempo de resposta, é imprescindível aplicar medidas práticas e priorizadas. Primeiro, corrigir imediatamente componentes de terceiros críticos e remover versões vulneráveis de programas como WinRAR; segundo, endurecer as políticas de e-mail bloqueando ou inspecionando com sandbox anexos .htm, .hta, .rdp, .msi e .rar procedentes de remetentes não verificados; terceiro, implantar EDR/telemetria que registram criação de processos .NET com UI de Windows Forms que estabeleçam conexões externas e atividade de WM_COPYDATA entre processos, pois esse canal IPC é distintivo desta família de malware.

Em rede, convém controlar e analisar tráfego WebSocket saliente incomum, especialmente conexões criptografadas para servidores não classificados como parte da atividade normal. A natureza cifrada do canal pode impedir a inspeção profunda, pelo que há que adicionar detecção baseada em padrões de comportamento (por exemplo, processos internos que activem túneis proxy ou estabeleçam múltiplas ligações WebSocket a partir de hosts internos) e bloqueio por reputação de domínios e endereços IP conhecidos.

Operativamente, é recomendável segmentar ambientes sensíveis, revogar credenciais que possam ter sido comprometidas após uma campanha de phishing e realizar buscas proativas de indicadores em endpoints e servidores. Além disso, auditar instalações WordPress internas e sites públicos que a organização gerencia pode evitar que repositórios legítimos se tornem vetores para entregar cargas úteis.

Para equipes de resposta e analistas, a pesquisa do Google destaca a existência de um repositório público que implementa o controle do servidor WebSocket do lado vítima, o que coloca riscos de reutilização por parte de outros atores e dificulta a atribuição técnica ao cifrar mensagens entrantes. É aconselhável compartilhar telemetria e IOC com as unidades de inteligência e os CERT nacionais e apoiar-se na análise de terceiros e da comunidade para identificar campanhas em curso; recursos gerais sobre o ator e seu histórico podem ser consultados na documentação pública de grupos de ameaças como a do MITRE ( https://attack.mitre.org/groups/G0010/) e nos relatórios das equipas de resposta como os da Google TAG ( https://blog.google/threat-analysis-group/).

Em suma, STOCKSTAY não é apenas uma nova peça de malware: é a expressão de uma política operacional madura que combina modularidade, evasão e campanhas de engenharia social direcionadas. A defesa requer combinar adesivos, endurecimento do correio, telemetria avançada e coordenação entre equipamentos. Para organizações em setores sensíveis, a ação imediata é priorizar adesivos e controles de e-mail, ativar detecção baseada em comportamento em endpoints e redes, e preparar processos de resposta que contemplem a possibilidade de compromissos encobertos e multi-etapa.