Casbaneiro: duas campanhas e um C2 ativo

Cadeia de ataque e TTPs

A primeira linha observável no material segue uma cadeia clássica de intrusão com abuso de acesso remoto e duas cargas finais. O usuário recebe phishing, instala um cliente legítimo de acesso remoto obtido a partir de um tenant de teste abusado e essa ferramenta fica rodando como serviço do Windows. A partir daí, os operadores conseguem interação persistente, executam PowerShell e baixam os componentes necessários para implantar tanto o módulo Delphi quanto a extensão Chromium.

A segunda linha, segundo as fontes secundárias, se apoia em iscas de documentos. Nesse caso, o malware teria coletado contatos e metadados do Outlook antes de passar para a lógica vinculada a bancos. Essa etapa anterior, transmitida sem criptografia e marcada com um arquivo .Outlook, sugere que o operador não buscava apenas roubo bancário imediato, mas também um pré-processamento das informações da vítima. A fonte principal da Unit 42 não confirma essa sequência, mas mostra um padrão de operação modular e cuidadosamente segmentado.

Na carga para Windows, o uso de VmLauncher.exe é central. A utilidade assinada da Caphyon Advanced Installer atuou como contêiner para zlibai.dll. Essa DLL imitou a biblioteca zlib, exportou funções de disfarce para enganar o ambiente de carregamento, alterou o ponto de entrada do processo hospedeiro e redirecionou a execução para seu manipulador. Uma vez ali, o malware ocultou sua janela, checou conectividade e executou comandos decifrados com XOR e uma tabela de 150 bytes.

No navegador, a técnica foi diferente, mas igualmente agressiva. A extensão foi instalada localmente, fora da Chrome Web Store, com Manifest V3 e permissões amplas. O fato de solicitar storage, tabs, webNavigation, scripting, activeTab e cookies lhe dava acesso à navegação, às sessões e à manipulação de páginas. Além disso, seus scripts de conteúdo eram executados em todas as URLs e em todos os frames, o que amplia a superfície de observação e reduz a dependência de correspondência seletiva por site.

O componente mais delicado é o WebSocket. Ao iniciar, a extensão consulta um arquivo de texto em um domínio do operador para obter o endpoint ativo. Depois cria um identificador de 10 caracteres em maiúsculas e sustenta a sessão com pings periódicos. Isso centraliza o controle em tempo real, habilita comandos interativos e facilita a mistura de atividades de observação, captura e manipulação visual, algo que o ator usou para roubar cookies, fazer screenshots, listar abas e controlar overlays HTML.

Impacto regional

A leitura regional combina uma operação técnica observada pela Unit 42 com uma campanha regional descrita por fontes secundárias. A primeira é verificável no detalhe técnico, mas não confirma por si só a geografia final das vítimas. A segunda traz uma camada mais ampla, com iscas personalizáveis, relatos de países-alvo e coleta prévia de Outlook. A relação operacional entre as duas linhas não está confirmada na fonte principal, por isso devem ser tratadas separadamente.

Panorama regional

A Unit 42 observou uma família bancária ativa no momento da análise, distribuída com uma extensão Chromium maliciosa e com infraestrutura viva tanto para o C2 do navegador quanto para o payload Delphi. A superfície técnica aponta para uma operação madura, com painéis próprios, segmentação de hospedagem e telemetria de navegação e formulários. O material secundário, por sua vez, sugere uma campanha regional anterior em que a personalização da isca e a coleta de dados do Outlook antecediam o golpe bancário.

O dado mais sólido para a região é a seleção de alvos. O painel analisado pela Unit 42 incluía cerca de 65 portais bancários portugueses e brasileiros, 11 exchanges de criptomoedas e provedores de webmail, incluindo domínios typosquatted. Isso não significa que todos esses alvos tenham sido comprometidos, mas que compõem o universo técnico carregado pelo operador em seu painel. A lista mostra uma estratégia seletiva sobre bancos, cripto e webmail.

A outra peça regional, a campanha de agosto descrita por veículos secundários, acrescenta uma prática útil para campanhas de fraude na América Latina: o uso de iscas com identidade do destinatário. A notícia menciona personalização com o e-mail do usuário e temas como faturas, intimações ou procedimentos judiciais. Também fala de geofencing e de uma cadeia que não se limita ao roubo bancário, começando com a coleta de dados do Outlook e terminando com a ativação do componente bancário.

Argentina

As coberturas secundárias colocam a Argentina entre os países-alvo da campanha regional de agosto, mas essa geografia não é confirmada pela fonte principal da Unit 42. O que se verifica é que a campanha regional foi descrita com iscas personalizadas e que, em paralelo, a atividade analisada pela Unit 42 operou com uma extensão Chromium, um payload Delphi e um painel com objetivos bancários e de webmail.

Peru

O Peru aparece no material como país mencionado por coberturas secundárias para a campanha regional de agosto. A fonte principal da Unit 42 não confirma essa delimitação geográfica, embora documente a cadeia de entrega com phishing, acesso remoto abusado e duas cargas em paralelo. Para o Peru, o dado relevante é a coexistência de uma narrativa regional e de uma investigação técnica distinta.

Colômbia

A Colômbia figura em coberturas secundárias como parte da suposta geografia afetada pela campanha de agosto, mas a Unit 42 esclarece que seu relatório não a menciona explicitamente. A referência serve como indício de leitura regional, não como confirmação de vítimas ou de intrusão no país.

Brasil

O Brasil aparece de forma consistente no painel observado pela Unit 42. A lista técnica incluía cerca de 65 portais bancários portugueses e brasileiros, além de exchanges e webmail. A fonte esclarece que isso não prova vítimas brasileiras nem uma intrusão ocorrida no Brasil, mas mostra que os alvos carregados pelo operador contemplavam esse ecossistema financeiro.

México

O México foi mencionado nas coberturas secundárias como parte da suposta cobertura regional de agosto. A Unit 42, porém, não confirma essa atribuição geográfica nem vincula de forma explícita sua intrusão à campanha regional. O que é comprovável na linha principal é o uso de infraestrutura distribuída e de uma extensão capaz de interceptar credenciais, cookies e navegação.

Chile

Não há fatos verificáveis adicionais na pesquisa para o Chile. A fonte consultada não traz atribuição geográfica confirmada nem indicadores específicos desse país.

Paraguai

Não há fatos verificáveis adicionais na pesquisa para o Paraguai. O material disponível não permite associar o país a uma intrusão concreta nem a infraestrutura publicada.

Bolívia

Não há fatos verificáveis adicionais na pesquisa para a Bolívia. A pesquisa não oferece IOC, amostra ou contexto operacional específico para esse país.

Estados Unidos

Não há fatos verificáveis adicionais na pesquisa para os Estados Unidos. Embora parte da infraestrutura tenha sido hospedada em provedores distintos, o material não atribui país vítima nem foco geográfico aos Estados Unidos.

Indicadores técnicos

Análise para equipes de segurança

A prioridade operacional é detectar a combinação, não apenas cada peça isolada. Um cliente legítimo de acesso remoto instalado como serviço, seguido por PowerShell que baixa arquivos de domínios sem relação com o negócio e depois por chrome.exe com load-extension sobre um diretório local, forma uma cadeia muito distinta. Essa sequência já justifica caça em telemetria de endpoints, proxy e EDR.

No Windows, a observação do serviço associado ao ScreenConnect Client junto com um identificador de instância de 16 caracteres hexadecimais deve ser cruzada com execução de PowerShell e com downloads a partir dos domínios publicados. O artefato C:\Docstar\zlibai.dll e a presença de C:\Docstar\VmLauncher.exe são marcadores úteis de pós-exploração. Se houver evidência de C:\Backup11\ptpt.zip ou de C:\chrome\manifest.json, a equipe já não está diante de ruído de navegação, mas de uma cadeia de intrusão com componentes persistentes.

No Chrome, a chave defensiva está em detectar extensões carregadas lateralmente. O comando chrome.exe --load-extension=C:\chrome, somado à remoção de HKCU\Software\Google\Chrome\PreferenceMACs\Default\extensions.settings, aponta para evasão de controles de integridade e manipulação deliberada. Também ajudam os identificadores DOM publicados pela Unit 42, como _ext_injected_overlay_wrapper_id, _ext_injected_style_id e extbtn_submit, úteis para hunting em memória, DOM e artefatos do navegador.

A lógica de comando e controle merece atenção específica. A extensão obtém um arquivo de texto em claro para resolver o WebSocket e depois mantém pings periódicos. Essa dependência de um arquivo de configuração a torna sensível a listas de bloqueio e à detecção por solicitações a caminhos como /pt.txt ou /w.txt. Além disso, o canal WebSocket e os comandos de captura de tela, cookies e injeção de HTML devem ser vistos como comportamentos de alto risco quando aparecem junto com permissões storage, tabs, webNavigation, scripting, activeTab e cookies.

Para a parte Delphi, a rotina XOR com tabela de 150 bytes e o uso de um executável assinado para carregar uma DLL com exportações de disfarce são sinais de empacotamento e ofuscação. Não é preciso conhecer o conteúdo exato do comando decifrado para detectar a cadeia. A combinação de uma utilidade de instalação legítima, uma DLL que imita zlib e um loader que oculta a janela é suficiente para disparar investigação manual.

A cobertura regional secundária acrescenta um vetor de prevenção anterior. Se o e-mail de phishing contém faturas, intimações ou supostos procedimentos judiciais, e ainda traz o endereço de e-mail do destinatário no corpo, a probabilidade de personalização aumenta. Essa personalização deve ser correlacionada com telemetria do Outlook, criação do arquivo .Outlook em %APPDATA% e qualquer envio de dados sem criptografia, porque nesse bloco a linha do tempo pode divergir da intrusão descrita pela Unit 42.

Perguntas frequentes

Qual é a diferença prática entre a campanha regional de agosto e a atividade analisada pela Unit 42?

A campanha regional de agosto, segundo coberturas secundárias, usou iscas de faturas e intimações e teria coletado dados do Outlook antes de ativar a lógica bancária. A atividade da Unit 42 se concentrou em phishing, acesso remoto abusado, side-loading Delphi e uma extensão Chromium com WebSocket. A relação entre as duas não está confirmada.

Qual parte do relatório ajuda mais a caçar a intrusão em um endpoint?

A sequência de serviço remoto, PowerShell, chrome.exe --load-extension=C:\chrome e as rotas C:\Docstar\zlibai.dll ou C:\chrome\manifest.json é a mais útil para hunting. Essa combinação cruza a seção de Cadeia de ataque e TTPs com Indicadores técnicos, e permite buscar persistência, carga lateral e extensão carregada fora da loja.

Por que o painel não equivale a vítimas confirmadas?

Porque a Unit 42 esclarece que a lista de 65 portais bancários, 11 exchanges e webmail é um alcance técnico observado no painel, não uma contagem de vítimas comprometidas. Essa precisão deve ser lida junto com a seção de Contexto e antecedentes e com a tabela de Impacto regional, onde a seleção de alvos não se traduz em incidente confirmado.

Qual é o papel dos indicadores de navegador frente aos de rede?

Os indicadores de rede, como 216.203.21[.]119 ou os domínios n1.youconnectedssl[.]digital e euromasterx[.]com, ajudam a detectar C2 e entrega. Os indicadores de navegador, como _ext_injected_overlay_wrapper_id ou extbtn_submit, servem para encontrar a camada de injeção no DOM. Ambos se complementam e cruzam as seções de TTPs e Indicadores técnicos.

Quais países podem ser mencionados com mais certeza no material?

Com certeza, o material principal vincula objetivos bancários portugueses e brasileiros dentro do painel, mas não confirma vítimas nacionais. As coberturas secundárias mencionam Argentina, Peru, Colômbia e México como países-alvo da campanha regional de agosto. Brasil e México aparecem em seções distintas, com níveis diferentes de verificação, por isso convém separá-los.

Limitações do material

A fonte principal da Unit 42 permite reconstruir com bastante detalhe a segunda linha de atividade, mas não confirma o vínculo operacional com a campanha regional de agosto descrita por veículos secundários. Essa relação deve ser tratada como não verificada.

Também não há confirmação de vítimas concretas por país na operação analisada pela Unit 42. O painel mostrava objetivos bancários portugueses e brasileiros, 11 exchanges de criptomoedas e provedores de webmail, mas isso não equivale a comprometimento confirmado. A fonte também esclarece que não afirma uma intrusão ocorrida no Brasil nem menciona explicitamente a Colômbia.

Os dados de agosto sobre Argentina, Peru, Colômbia e México vêm de uma cobertura secundária com confiança atenuada. Eles servem para contextualizar uma possível geografia da campanha regional, mas não para afirmar afetados específicos sem cruzamento com telemetria própria.

Por fim, o material não traz detalhes completos sobre a etapa inicial da campanha regional além das iscas documentais, da coleta de Outlook e da marca .Outlook. Não foram publicados todos os arquivos, nem todas as variantes da carga, nem uma correlação técnica demonstrada com a operação observada pela Unit 42.