Ferramenta furtiva do grupo KongTuke opera sem deixar arquivos no disco e consegue se autodestruir para escapar da detecção.
Um grupo de cibercriminosos especializados em vender acessos a redes corporativas está utilizando uma nova ferramenta altamente furtiva para se infiltrar em empresas dos setores de seguros, educação, tecnologia e serviços profissionais. A ameaça, identificada por equipes de segurança da Broadcom, foi batizada de Mistic — um backdoor projetado para operar em silêncio por longos períodos.
O grupo por trás da campanha é conhecido como Kong Tuke (também rastreado sob os nomes 404 TDS, TAG-124 e Podanat). Em vez de focar em uma única empresa com um objetivo específico, a estratégia do grupo consiste em comprometer redes e vender o acesso para outros criminosos.
O que é um backdoor e como o Mistic age
Um backdoor (porta dos fundos) é uma abertura secreta instalada em um sistema comprometido. Com ele, os invasores conseguem retornar à rede quando quiserem, executar comandos e manter o controle total dos sistemas da vítima.
O principal diferencial do Mistic é a sua capacidade de evitar detecção:
- Execução em memória: O malware roda completamente na memória RAM do computador, sem gravar arquivos no disco rígido. Isso reduz drasticamente as chances de detecção por antivírus tradicionais, que costumam escanear arquivos armazenados no disco.
- Capacidade de autodestruição: Se o operador perceber que o ataque foi descoberto, o Mistic consegue se apagar do sistema, eliminando qualquer evidência de sua presença.
- Evolução modular: O backdoor suporta o carregamento de Beacon Object Files (BOFs), permitindo que os invasores expandam as capacidades da ferramenta conforme a necessidade.
Como o ataque começa: Engenharia Social e a técnica ClickFix
Para invadir os sistemas, o grupo Kong Tuke utiliza técnicas avançadas de engenharia social:
- Vetor ClickFix: A vítima visita um site legítimo comprometido (geralmente em WordPress) e recebe uma notificação falsa de erro ou instrução de segurança. A mensagem induz o usuário a copiar e executar um comando no próprio computador.
- Mensagens falsas no Microsoft Teams: O grupo também utiliza contas falsas de suporte técnico no Teams para enganar funcionários e fazer com que executem scripts maliciosos.
- Histórico de extensões: Em campanhas anteriores, o grupo utilizou extensões maliciosas do Google Chrome que simulavam bloqueadores de anúncios para travar o navegador e exigir um “scan de segurança”, que na verdade instalava o malware.
Conexão com Ransomware
Uma vez instalado, o Mistic pode enviar, baixar, mover ou apagar documentos, além de criar pastas e executar códigos diretamente do servidor de controle.
Ele costuma ser instalado junto ao ModeloRAT, um trojan de acesso remoto em Python. Em casos investigados, essa combinação serviu de ponte para a implantação do ransomware Qilin, sequestrando dados e exigindo resgate. Segundo a Broadcom, o Mistic provavelmente foi desenvolvido por “corretores de acesso” (initial access brokers) para facilitar o trabalho de afiliados de ransomware.
Fonte do artigo original: Este artigo é um resumo informativo baseado na reportagem “Novo vírus some após o ataque e apaga os próprios rastros no PC”, escrita por Cecilia Ferraz e publicada originalmente no portal TecMundo.
