Pesquisadores do WatchGuard Threat Lab identificaram uma campanha global de ciberataques que utiliza WordPress, Cloudflare e a rede Ethereum Sepolia para roubar credenciais. A operação entrega o NightshadeC2, também conhecido como CastleRAT, uma ferramenta de espionagem capaz de assumir o controle total de ambientes infectados.
Direcionamento geográfico e engenharia social
A campanha mira exclusivamente usuários de seis países de língua inglesa: Estados Unidos, Canadá, Reino Unido, Irlanda, Austrália e Nova Zelândia. Para atrair as vítimas, os operadores combinam a tática de engenharia social ClickFix com o conceito de EtherHiding, em que a lógica criptografada de entrega do malware é armazenada em contratos inteligentes na rede de testes Ethereum Sepolia, dificultando derrubadas tradicionais de infraestrutura. A cadeia de infecção explora a confiança em serviços legítimos, encadeando manipulação de sites em WordPress, armazenamento no Cloudflare R2, utilitários nativos em PowerShell e Python, além de recursos da comunidade da Steam.
Evasão avançada e autodestruição na CEI
Durante o monitoramento, a equipe da WatchGuard mapeou variações nos padrões de URI, rotuladas como psc2, psc3 e psc4, refletindo ajustes em tempo real para contornar assinaturas estáticas. Um detalhe marcante é uma rotina de checagem geográfica inversa: o malware interrompe a execução e se autodestroi caso detecte que o sistema pertence a países da Comunidade dos Estados Independentes (CEI).
Capacidades do NightshadeC2
Após a execução da cadeia inicial, o payload final IntelSoftwareUpdaterVX é implantado, alocando um ambiente Python 3.11 oculto. O NightshadeC2 opera como um Trojan de Acesso Remoto associado ao operador de Malware-as-a-Service TAG-150. Entre suas capacidades estão a criação de tarefas agendadas para persistência, a coleta de dados do sistema como GUID da máquina, hostname e antivírus instalados, e a comunicação de comando e controle via pacotes DNS para burlar firewalls. O malware usa criptografia ChaCha20, RC4, AES-GCM e AES-256-CBC, e consulta perfis da Steam Community como dead-drop resolver para obter a URL atualizada do servidor de C2. Também burla o UAC abusando do executável legítimo ComputerDefaults.exe e executa código diretamente na memória, sem salvar arquivos no disco. A vigilância inclui keylogging, captura da área de transferência, capturas de tela periódicas, transmissão de vídeo em tempo real e roubo de cookies, senhas e carteiras de criptomoedas.
“O uso de smart contracts em redes blockchain como a Ethereum mostra como os cibercriminosos estão migrando para infraestruturas descentralizadas para garantir que suas campanhas permaneçam ativas mesmo após ações de mitigação”, destaca Renato Marchi, Sales Engineer Manager LATAM da WatchGuard. Para ele, combater esse tipo de ameaça exige ir além do antivírus tradicional, adotando telemetria comportamental contínua e proteção avançada de endpoints.
