Avalon: novo malware com IA entrega ransomware CrownX

Pesquisadores da Blackpoint Cyber revelaram nesta sexta-feira, 3 de julho de 2026, o Avalon, uma estrutura de malware modular inédita que combina roubo de credenciais, movimentação lateral e criptografia de arquivos em um único payload. Distribuído por e-mails com isca de documentos jurídicos hospedados no Proton Drive, o componente ransomware, batizado internamente de CrownX, apresenta fortes indícios de desenvolvimento assistido por inteligência artificial.

Como o ataque acontece

A campana começa com um e-mail de phishing que se passa por uma intimação ou documento jurídico. A mensagem direciona a vítima a um arquivo protegido por senha hospedado no Proton Drive, serviço de armazenamento em nuvem com criptografia ponta a ponta. Ao baixar e montar a imagem ISO contida no pacote, o alvo encontra um atalho do Windows disfarçado de PDF — Secure Document CA-283505.pdf.lnk — que, ao ser clicado, dá início à cadeia de infecção.

O atalho aciona um projeto MSBuild embarcado na própria imagem ISO. Esse projeto carrega um assembly .NET que manipula o Event Tracing for Windows (ETW) para reduzir a visibilidade forense e, em seguida, baixa por HTTPS o payload responsável por iniciar o framework Avalon. Todo o processo foi desenhado para operar majoritariamente na memória, dificultando a detecção por soluções tradicionais.

Evasão mira EDRs conhecidos

Um dos aspectos mais notáveis do Avalon é seu subsistema dedicado à evasão. A estrutura implementa técnicas específicas para se ocultar de ferramentas associadas a Microsoft Defender, SentinelOne, CrowdStrike, Sophos, Elastic Endpoint, FortiEDR, ESET, McAfee e Bitdefender. “Essas capacidades dão ao framework múltiplas formas de reduzir telemetria, ignorar o monitoramento em modo de usuário e ajustar a execução conforme as defesas presentes no host”, afirmaram os pesquisadores Nevan Beal e Sam Decker, da Blackpoint Cyber.

O que o malware rouba

Antes de criptografar arquivos, o Avalon coleta um volume expressivo de informações. A tabela abaixo resume os principais alvos de exfiltração:

Os dados roubados são enviados a um servidor remoto — helloxcherry[.]com — que também distribui comandos para a máquina comprometida. A eliminação de cópias de sombra (Volume Shadow Copies) e o dano direto a estruturas de disco dificultam qualquer recuperação posterior.

CrownX e a marca da IA

O componente de extorsão foi rotulado internamente de CrownX. Para os pesquisadores, o conjunto como um todo apresenta sinais claros de desenvolvimento assistido por inteligência artificial: múltiplos componentes montados sem grande refinamento de tradecraft ou segurança operacional, o que normalmente exigiria expertise considerável. O episódio reforça como modelos de linguagem reduzem a barreira de entrada para a criação de malware sofisticado.

“A presença de uma determinada capacidade deixou de ser indicador confiável da sofisticação ou maturidade operacional de um atacante”, conclui a Blackpoint. O achado coincide com outra revelação recente da Sysdig, que descreveu o que seria o primeiro ataque de ransomware agéntico conduzido de ponta a ponta por um modelo de linguagem, associado ao ator JADEPUFFER.

Como reduzir o risco

• Bloquear arquivos ISO e LNK anexados ou baixados de fontes externas, sobretudo de serviços como Proton Drive.
• Monitorar uso do MSBuild por processos não assinados ou fora do contexto de desenvolvimento.
• Manter EDRs atualizados e habilitar regras de detecção para manipulação de ETW.
• Reforçar treinamento anti-phishing focado em iscas jurídicas e notificações legais falsas.
• Implementar backups offline e testar a restauração, já que o Avalon destrói cópias de sombra.

Fontes

• The Hacker News — New Avalon Malware Framework Packs CrownX Ransomware Capabilities
• Blackpoint Cyber — Vibe Coded Extortion: Avalon’s Path from Legal Lure to CrownX
• GBHackers — Avalon Malware Uses Legal Document Lure to Deliver CrownX