Malware avançado mira setor de criptomoedas com técnicas sofisticadas

Novo trojan de acesso remoto para Windows, chamado PHANTOMPULSE, mira o setor de criptomoedas e usa engenharia social, injeção de processos, bypass de UAC e comunicação por blockchain.
A campanha se apresenta como carga final da cadeia REF6598, iniciando com abuso de plugins do Obsidian e seguido por um loader em memória chamado PHANTOMPULL.
PHANTOMPULSE emprega três técnicas de injeção de processo: PhantomInject (sobrescreve dbghelp.dll), DbgNexum (baseada na Windows Debug API) e outros métodos para manter a execução.
O malware inclui bypass de UAC ao usar a interface COM do Windows para criar tarefa agendada com privilégios elevados e relançar o código, com tentativas adicionais via rundll32 se necessário.
Indícios de desenvolvimento assistido por IA foram observados, com mensagens internas detalhadas e estruturas de depuração atípicas.

O PHANTOMPULSE surgiu como um novo trojan de acesso remoto para Windows, identificado em uma campanha voltada ao setor de criptomoedas. O objetivo é comprometer sistemas ligados ao mercado de criptomoedas por meio de técnicas avançadas de infiltração e persistência. A campanha combina engenharia social, injeção de processos e comunicação por blockchain para facilitar o controle remoto dos sistemas.

O ataque começa com a cadeia REF6598, que se aproveita de plugins vulneráveis do Obsidian para obter o primeiro acesso. Em seguida, um loader em memória, chamado PHANTOMPULL, instala o implante e prepara o ambiente para persistência e comunicação com os operadores. Essa sequência sugere um fluxo de ataque bem definido desde a penetração inicial até o controle contínuo.

A campanha aponta para uso de três técnicas de injeção de processo pelo PHANTOMPULSE, com foco em camadas de proteção da máquina substituídas por abordagens menos detectáveis. A técnica PhantomInject injeta shellcode ao modificar uma DLL legítima, dbghelp.dll, reduzindo sinais de detecção em memória.

Técnicas de injeção e evasão

Outra abordagem, chamada DbgNexum, utiliza a Windows Debug API para cargas executáveis. O malware também realiza bypass de UAC ao explorar uma interface COM do Windows para criar tarefas agendadas com privilégios elevados, relançando o código com direitos administrativos. Quando necessário, variantes recorrem a rundll32 para manter a persistência.

Pesquisadores apontam indícios de desenvolvimento com apoio de IA, evidenciados por mensagens internas detalhadas e estruturas de depuração incomuns. A combinação de técnicas sugere um desenvolvimento orientado a automação e evolução contínua, segundo as análises disponíveis.