Pesquisadores de segurança descobriram um novo programa malicioso para Windows projetado para resistir a tentativas de derrubada na internet. Batizado de “AvisLoader”, o invasor foi localizado em um servidor aberto ao lado de ferramentas de apoio e de um painel de controle. O relatório técnico sobre a ameaça foi publicado nesta quarta-feira (23) pela empresa de cibersegurança Varonis.
O arquivo chega aos computadores por meio de uma armadilha visual que imita pedidos de assinatura do DocuSign. A página falsa tenta convencer a vítima a colar uma linha de código no terminal do sistema sob o pretexto de liberar um documento, segundo o alerta. A empresa de segurança adverte que serviços legítimos de assinatura digital nunca exigem a execução manual de comandos para liberar arquivos.
Comunicação sem servidor central
O diferencial do AvisLoader está na comunicação com os cibercriminosos. Em vez de depender de servidores centrais ou de endereços de internet fixos, fáceis de tirar do ar, o programa utiliza a infraestrutura do Tox, um protocolo de mensagens diretas e criptografadas.
Segundo o pesquisador Daniel Kelley, autor do relatório da Varonis, essa mecânica cria uma barreira inédita para a contenção: “O canal de comando e controle não depende de um domínio ou endereço de servidor fixo, e os operadores podem manter a mesma identidade mesmo se mudarem para outro servidor”.
Essa estrutura descentralizada permite que os invasores transfiram a base do ataque para qualquer máquina sem perder a conexão com os sistemas já infectados. Assim, os computadores invadidos continuam a responder à mesma chave digital registrada na rede do mensageiro.
Camuflagem em atalhos e ferramentas de apoio
Para garantir que o acesso continue ativo, o malware altera os atalhos de programas na área de trabalho e na barra de tarefas. Quando o usuário clica para abrir um aplicativo rotineiro, o arquivo nocivo entra em ação primeiro e, em seguida, inicializa o programa original para não levantar suspeitas.
O pacote encontrado no servidor também continha módulos complementares para tentar obter privilégios de administrador no Windows e ocultar processos em execução. No entanto, os analistas ressaltam que não há evidências de que essas ferramentas secundárias funcionaram em incidentes reais.
No painel de comando do grupo, os invasores conseguem visualizar a lista de computadores sob controle, com dados sobre localização, componentes físicos e antivírus ativo. A partir dessa tela, o grupo envia ordens diretas e distribui novos arquivos maliciosos.
A equipe da Varonis destacou que o uso de softwares comuns como disfarce exige vigilância das defesas:
Para as equipes de segurança, isso significa que um protocolo legítimo de mensagens também pode transportar comandos de operadores e malware adicional
Daniel Kelley, pesquisador da Varonis
Para evitar cair na fraude, a recomendação é interromper a navegação em páginas que solicitem a colagem de comandos em áreas do sistema operacional, como Executar, PowerShell ou Prompt de Comando, além de notificar imediatamente a equipe de suporte.
Siga o TecMundo no X, Instagram, Facebook e YouTube e assine a nossa newsletter para receber as principais notícias e análises diretamente no seu e-mail.