O infostealer Amatera voltou ao centro dos relatórios técnicos de segurança com duas análises independentes publicadas pela Cisco Talos e pela Malwarebytes. A Talos reconstruiu uma cadeia de ataque que executa DLLs disfarçadas diretamente de caminhos WebDAV, iniciada por um prompt de verificação falsa que imita o CAPTCHA do Google, enquanto a Malwarebytes descreve falsos instaladores de jogos que abusam da engine Ren’Py e da ferramenta de build MSBuild. O público exposto é amplo: qualquer estação Windows onde usuários baixam jogos, cracks, mods ou software fora de lojas oficiais. A ação prioritária é caçar os indicadores divulgados, criar alertas para execuções de rundll32 em caminhos UNC, para MSBuild rodando em pastas temporárias do usuário e para processos que consultam endpoints de blockchain sem justificativa.
Duas cadeias, um predador comum
A investigação da Cisco Talos começou em abril, na telemetria de um órgão do governo ucraniano: uma DLL chamada “verification.google” foi executada de um caminho WebDAV através da versão de 32 bits do rundll32.exe. A partir desse evento, os pesquisadores caçaram padrões semelhantes em repositórios abertos e recuperaram uma segunda cadeia, com o loader “pf.ch”, acionada por JavaScript do ClearFake injetado no conteúdo de um site comprometido por um Cloudflare Worker malicioso. Com confiança moderada, a Talos avalia que os ataques não têm alvo específico: tratam-se de operações para roubo de credenciais e criptomoedas, com o Amatera como carga principal.
O detalhe que muda a resposta defensiva está nas cargas secundárias. No ramo “pf.ch”, o servidor de comando e controle ordenou a instalação de um loader NativeAOT que executa o ZigCryptoStealer, um roubo de criptomoedas escrito na linguagem Zig, além de um proxy reverso em Go que transforma a máquina em ponto de saída de tráfego do atacante. No ramo “verification.google”, o ataque vai além do roubo automatizado: a cadeia instala uma cópia não autorizada do NetSupport Manager, ferramenta legítima de acesso remoto, configurada para operar em silêncio, sem ícone na bandeja do sistema e sem controles visíveis de chat ou desconexão, conectando-se a um gateway controlado pelo operador. No momento da análise, esse gateway resolvia para um endereço IP sediado na Rússia, o que levou a Talos a atribuir, com confiança moderada, esse ramo a um ator russo, rastreado internamente como UAT-10820.
Blockchain como refúgio do ataque
A característica que mais dificulta o bloqueio tradicional é o EtherHiding: o ataque esconde a configuração de comando e controle em um contrato inteligente de blockchain pública, em vez de gravar endereços de servidor dentro do malware. A Talos observou o Cloudflare Worker injetando JavaScript que consulta um contrato na testnet da BNB Smart Chain; conforme o sistema operacional da vítima, o script recupera estágios adicionais de outros contratos, com endereços distintos para Windows e macOS. A blockchain funciona como hospedagem à prova de derrubada: o operador altera o conteúdo do contrato quando quer trocar de infraestrutura, e não existe um domínio fixo para bloquear no firewall corporativo.
A Malwarebytes chegou ao mesmo mecanismo por outro caminho: um downloader.NET chamado GollopDevest usa uma requisição JSON-RPC para ler o endereço do servidor a partir de dados gravados em blockchain antes de baixar as próximas etapas do ataque. Como o mesmo componente apareceu em campanhas distintas, inclusive em golpes de ClickFix, os pesquisadores avaliam que se trata de uma oferta de malware-as-a-service, reutilizada por vários operadores. Para a defesa, isso significa que derrubar um domínio resolve pouco: o indicador útil é o comportamento, como processos que consultam endpoints RPC de blockchain sem motivo de negócio. Esse raciocínio se soma ao debate sobre phishing resistente, em que o vínculo de origem da identidade vale mais do que códigos de verificação trocados sob pressão.
Falsos jogos abusam do RenPy
O relatório da Malwarebytes documenta a porta de entrada mais fácil de escalar em massa: páginas falsas de download de jogos, mods e cracks, hospedadas em sites dedicados, portais de jogos e serviços de compartilhamento como Google Drive, MEGA, GoFile e Wormhole. O arquivo baixado contém um Setup.exe que abre uma tela de instalação aparentemente normal, enquanto a engine Ren’Py, legítima e usada em jogos de narrativa visual, executa código Python malicioso em segundo plano. O loader verifica se está em sandbox e encerra a execução em caso positivo, decodifica um arquivo ZIP protegido por XOR, remove a marca Mark of the Web gravando ZoneId igual a zero para contornar o SmartScreen e dispara um arquivo BAT por meio do forfiles.exe.
O BAT reexecuta a si mesmo em console oculta, habilita funções de propriedade do MSBuild e chama o MSBuild.exe com um projeto Nancy.csproj adulterado. Durante a avaliação do projeto, uma função maliciosa decodifica em hexadecimal e carrega em memória uma versão trojanizada da biblioteca.NET Nancy, com parte da lógica implementada em bytecode próprio, o que atrapalha a análise estática. O estágio seguinte, o downloader GollopDevest, busca as últimas cargas, incluindo um componente que decodifica e executa o Amatera. A cadeia não é exclusiva deste infostealer: o mesmo entregador já distribuiu o HijackLoader e o Lumma Stealer, confirmando o modelo de serviço com payload final variável entre campanhas.
Sinais de comprometimento
Os dois relatórios oferecem indicadores objetivos para caça imediata no ambiente. A tabela reúne os sinais com maior valor de detecção e a ação correspondente em cada caso.
| Sinal observável | O que indica | Ação recomendada |
|---|---|---|
| rundll32.exe de 32 bits executando DLL por caminho UNC/WebDAV, com início do serviço WebClient | Execução do loader WebDAV, como “pf.ch” ou “verification.google” | Isolar a máquina e investigar cargas residentes em memória |
| MSBuild.exe avaliando projeto.csproj em pasta temporária do usuário | Abuso de binário legítimo na cadeia RenPy | Bloquear e coletar o projeto para análise forense |
| Consultas a endpoints RPC de blockchain, como bsc-dataseed.binance.org, sem motivo de negócio | Resolução de servidor de comando por EtherHiding | Cortar a saída e revisar o processo responsável |
| Tarefa agendada no logon executando hypersnap.exe a partir de %APPDATA% | Persistência de cópia renomeada do cliente NetSupport | Remover a tarefa e tratar como acesso remoto ativo |
| conhost.exe com o argumento –headless reexecutando o cmd | Estágio oculto do BAT da cadeia RenPy | Alertar e correlacionar com o MSBuild subsequente |
Ações P1 e P2
Como prioridade imediata, aplique a lista de indicadores publicada pela Talos e pela Malwarebytes nos filtros de EDR, proxy e DNS: destaque para o domínio de C2 login.orbitalframework[.]cc e para o gateway do cliente de acesso remoto configurado pelo atacante. Em seguida, desabilite o serviço WebClient nas estações onde o acesso WebDAV não é necessário, porque é ele que transforma um caminho UNC em execução de código remoto. Revise também os logs históricos de proxy procurando as consultas a endpoints RPC de blockchain, que podem revelar máquinas comprometidas antes da detecção.
No curto prazo, restrinja a execução de MSBuild, forfiles e outros interpretadores para usuários que não desenvolvem software, com monitoramento especial das execuções em pastas temporárias. Como o Amatera rouba credenciais, cookies de sessão e material de carteiras digitais, e o acesso remoto dá controle manual ao operador, toda confirmação exige rotação de senhas, invalidação de sessões ativas e revisão dos métodos de autenticação — inclusive a avaliação de abordagens resistentes a golpes de engenharia social, tema tratado na análise sobre o golpe do suporte de passkey. O roubo de tokens e de sessões segue como o elo mais fraco, mesmo quando as credenciais são fortes.
Por fim, trate a comunicação com usuários como controle permanente: a orientação das duas empresas é direta — baixar jogos e software apenas de lojas oficiais e distribuidores verificados, desconfiar de cracks e mods gratuitos de produtos pagos e examinar o conteúdo de arquivos compactados antes de executar qualquer Setup.exe. A aparência profissional da página de download não garante segurança, porque os operadores renovam os sites continuamente, com nomes e layouts sempre diferentes.