WatchGuard revela detalhes sobre o novo trojan NightshadeC2 que ataca sistemas Windows
Campanha global de ciberataques utiliza blockchain e engenharia social para roubo de credenciais.
Pesquisadores identificaram uma campanha global de ciberataques que opera através de contratos inteligentes na rede de testes Ethereum Sepolia, sites em WordPress e infraestrutura do Cloudflare. A descoberta, revelada em setembro de 2026, visa usuários em seis países de língua inglesa: Estados Unidos, Canadá, Reino Unido, Irlanda, Austrália e Nova Zelândia.
O ataque utiliza o NightshadeC2, também conhecido como CastleRAT, uma ferramenta de espionagem que permite o controle total de ambientes infectados. Associada ao operador de malware-as-a-service (MaaS) TAG-150, essa ferramenta é projetada para roubar credenciais de forma eficiente.
Blockchain como escudo da campanha
A campanha combina técnicas avançadas para evitar detecções. Uma delas é o ClickFix, que utiliza engenharia social para induzir as vítimas a executar comandos maliciosos. A outra, EtherHiding, armazena a lógica de entrega do malware em smart contracts na rede Sepolia, dificultando a remoção tradicional da infraestrutura maliciosa.
Os operadores mascaram o tráfego malicioso utilizando múltiplas plataformas legítimas, como sites comprometidos em WordPress e serviços de armazenamento em nuvem do Cloudflare. Essa estratégia dilui o tráfego da ameaça no fluxo normal de dados, tornando a detecção mais complexa.
Durante o monitoramento, foram observadas variações nos padrões de identificador uniforme de recursos (URI), refletindo ajustes em tempo real feitos pelos criminosos para contornar bloqueios e assinaturas estáticas.
Exclusão de países da CEI
Uma característica notável do malware é sua rotina de verificação geográfica. Ao iniciar, o script consulta a API GetUserDefaultUILanguage() do Windows. Se o sistema pertencer a um dos países da Comunidade dos Estados Independentes (CEI), a execução é encerrada, e o malware se autodestrói.
Capacidades do NightshadeC2
O payload final, denominado IntelSoftwareUpdaterVX, é implantado como um pacote Inno Setup que oculta um ambiente Python 3.11. O NightshadeC2, operando como um trojan de acesso remoto (RAT), garante persistência criando uma tarefa agendada no Windows e executando comandos para mapear o ambiente infectado.
A comunicação com o servidor de comando e controle (C2) utiliza pacotes DNS, contornando firewalls. O tráfego e os payloads secundários são criptografados com técnicas avançadas, como AES-256-CBC, dificultando a interceptação.
Para aumentar privilégios sem alertar, o CastleRAT utiliza um executável legítimo do Windows para duplicar acessos. Um loader reflexivo altera permissões de memória e executa código malicioso diretamente na RAM, evitando a gravação de arquivos no disco.
Vigilância e roubo de credenciais
O NightshadeC2 realiza monitoramento contínuo do usuário, registrando digitações, capturando a área de transferência e realizando transmissões de vídeo em tempo real. O malware também sequestra sessões ativas no Chrome e injeta código em memória para roubar cookies, senhas e dados de carteiras de criptomoedas.
O uso de smart contracts em redes blockchain, como a Ethereum, demonstra a evolução das táticas cibercriminosas, que buscam garantir a continuidade das campanhas mesmo após ações de mitigação. Combater essas ameaças exige estratégias de segurança que vão além do antivírus tradicional, focando em telemetria comportamental e proteção avançada de endpoints.
