O PHANTOMPULSE surgiu como um novo trojan de acesso remoto para Windows, identificado em uma campanha voltada ao setor de criptomoedas. O objetivo é comprometer sistemas ligados ao mercado de criptomoedas por meio de técnicas avançadas de infiltração e persistência. A campanha combina engenharia social, injeção de processos e comunicação por blockchain para facilitar o controle remoto dos sistemas.
O ataque começa com a cadeia REF6598, que se aproveita de plugins vulneráveis do Obsidian para obter o primeiro acesso. Em seguida, um loader em memória, chamado PHANTOMPULL, instala o implante e prepara o ambiente para persistência e comunicação com os operadores. Essa sequência sugere um fluxo de ataque bem definido desde a penetração inicial até o controle contínuo.
A campanha aponta para uso de três técnicas de injeção de processo pelo PHANTOMPULSE, com foco em camadas de proteção da máquina substituídas por abordagens menos detectáveis. A técnica PhantomInject injeta shellcode ao modificar uma DLL legítima, dbghelp.dll, reduzindo sinais de detecção em memória.
Técnicas de injeção e evasão
Outra abordagem, chamada DbgNexum, utiliza a Windows Debug API para cargas executáveis. O malware também realiza bypass de UAC ao explorar uma interface COM do Windows para criar tarefas agendadas com privilégios elevados, relançando o código com direitos administrativos. Quando necessário, variantes recorrem a rundll32 para manter a persistência.
Pesquisadores apontam indícios de desenvolvimento com apoio de IA, evidenciados por mensagens internas detalhadas e estruturas de depuração incomuns. A combinação de técnicas sugere um desenvolvimento orientado a automação e evolução contínua, segundo as análises disponíveis.
Entre na conversa da comunidade