A WatchGuard Technologies identificou três campanhas de malware que utilizam scripts VBScript e ferramentas legítimas para distribuir códigos maliciosos e dificultar sua detecção. A investigação, conduzida pela equipe de pesquisa Red Cell, analisou operações associadas ao Overlord RAT, ao trojan bancário Lampion e a uma terceira campanha que utiliza uma DLL maliciosa e o executável legítimo vnetlib.exe, da VMware.
Uma das campanhas tem vítimas no Brasil e utiliza domínios fraudulentos que imitam cartórios de protesto de diferentes estados. As outras duas foram identificadas em Portugal, embora uma delas utilize infraestrutura de rede localizada no Brasil.
Segundo a WatchGuard, as operações combinam engenharia social, scripts ofuscados e ferramentas legítimas do sistema operacional para executar diferentes etapas da infecção.
Falsos avisos de protesto distribuem malware no Brasil
Na campanha associada ao Overlord RAT, os criminosos enviam e-mails de phishing que simulam comunicações de cartórios de protesto brasileiros. Os links direcionam os destinatários para domínios fraudulentos, de onde são baixados scripts VBScript maliciosos. Dependendo da variante utilizada, os arquivos distribuem executáveis ou instaladores MSI.
A análise identificou comentários em português brasileiro nos scripts, além de técnicas de ofuscação para dificultar a compreensão do código. Entre os métodos empregados estão a função Chr(), que representa caracteres por códigos ASCII, e a concatenação de strings para ocultar endereços e comandos.
Os pesquisadores também documentaram o uso de ferramentas como curl e PowerShell para baixar e executar arquivos maliciosos.
O código associado ao Overlord RAT contém verificações relacionadas a aplicativos financeiros utilizados no Brasil, incluindo C6 Bank, PicPay, Banco PAN, Banco Inter, Banco Original, Caixa Econômica Federal e Modalmais. Esse comportamento indica que a campanha considera referências a serviços financeiros brasileiros durante sua execução. A investigação, entretanto, não afirma que essas instituições tenham sido invadidas nem comprova o roubo de credenciais de seus clientes.
Em etapas posteriores, o malware estabelece comunicação com a infraestrutura associada ao Overlord RAT, ferramenta que oferece recursos de acesso remoto.
A pesquisa também identificou o uso de DLL side-loading, técnica que permite carregar uma biblioteca maliciosa por meio de um executável legítimo. Entre os exemplos documentados estão ngentask.exe, associado ao Microsoft .NET Framework, e vlc.exe, um reprodutor de mídia. Nesses casos, as DLLs maliciosas estabelecem comunicação com a infraestrutura do Overlord RAT.
“À medida que as defesas tradicionais se tornam mais rigorosas, os cibercriminosos adaptam suas estratégias, utilizando ferramentas confiáveis do próprio sistema operacional e serviços em nuvem para mascarar suas ações. No Brasil, observamos campanhas direcionadas que exigem das organizações visibilidade sobre os endpoints e uma abordagem de segurança baseada no comportamento”, destaca Renato Marchi, Sales Engineer Manager LATAM da WatchGuard.
Lampion utiliza serviços de nuvem para distribuir ameaças
Outra campanha analisada pela Red Cell está associada ao trojan bancário Lampion, com vítimas identificadas principalmente em Portugal.
Os ataques começam com e-mails de phishing que contêm arquivos ZIP com nomes como “COMPROVATIVO”. Nos casos examinados, os arquivos compactados contêm páginas HTML com links para scripts VBS hospedados em serviços legítimos de armazenamento em nuvem, como AWS S3 e Google Drive.
O payload final do Lampion possui recursos de acesso remoto e pode permitir o controle do equipamento comprometido e a extração de dados.
O uso de serviços legítimos de nuvem dificulta a identificação de atividades suspeitas, pois os links utilizados na distribuição do malware podem estar hospedados em plataformas conhecidas pelos usuários e pelas organizações.
Campanha explora executável legítimo da VMware
A terceira operação utiliza uma página falsa intitulada “Download Seguro – Factura”, que apresenta um CAPTCHA fraudulento para induzir o visitante a baixar um arquivo ISO.
O arquivo contém um script VBScript ofuscado e o executável legítimo vnetlib.exe, da VMware. A combinação é utilizada no processo de carregamento de uma DLL maliciosa por meio de DLL side-loading.
Embora a campanha estabeleça comunicação com um servidor hospedado no Brasil, as vítimas identificadas pela investigação estão em Portugal.
O relatório identifica a operação pelo nome newdev.dll, mas esclarece que esse arquivo é um módulo legítimo do Windows, relacionado à instalação e ao gerenciamento de dispositivos e drivers. Essa distinção é importante para evitar que o nome de um componente legítimo seja interpretado, isoladamente, como evidência de infecção.
Campanhas apresentam semelhanças técnicas
A análise da WatchGuard também identificou semelhanças técnicas entre as campanhas associadas ao Overlord RAT e ao Lampion. Nos dois casos, os payloads finais apresentam recursos de acesso remoto.
Esses pontos em comum ajudam a compreender como determinadas técnicas podem ser utilizadas em diferentes operações de cibercrime. No entanto, as semelhanças identificadas não comprovam que as campanhas sejam conduzidas pelo mesmo operador.
De forma geral, as três operações demonstram como scripts ofuscados, ferramentas legítimas e serviços de nuvem podem ser combinados para distribuir malware e dificultar a identificação de atividades maliciosas.
WatchGuard recomenda atenção a sinais de infecção
Entre os indicadores de possível comprometimento identificados nas campanhas, a WatchGuard destaca:
- Execução inesperada de scripts VBScript ou PowerShell.
- Tentativas suspeitas de alterar as exclusões do Microsoft Defender.
- Criação de tarefas agendadas sem justificativa aparente.
- Conexões de rede inesperadas com infraestruturas externas.
A empresa recomenda que usuários desconfiem de mensagens inesperadas com faturas, comprovantes ou avisos de protesto, especialmente quando incluem arquivos ZIP ou links para downloads. A orientação é verificar a origem das comunicações antes de abrir anexos ou acessar os endereços indicados.
Para empresas e provedores de serviços gerenciados (MSPs), a WatchGuard ressalta a importância de adotar uma estratégia de segurança em camadas, combinando proteção contra phishing, detecção baseada em comportamento e monitoramento contínuo dos endpoints.
