Duas equipes de pesquisa independentes documentaram, sob nomes diferentes, o mesmo backdoor corporativo: a ThreatLabz da Zscaler o chama de MLTBackdoor; a Threat Hunter Team da SentinelOne (Symantec), de Backdoor.Mistic. Identificado em maio de 2026 e visto em invasões desde abril de 2026, o malware chega por golpes de copiar-e-colar, imita componentes legítimos de segurança de endpoints e mantém acesso silencioso para atores que negociam esse acesso. A ação prioritária para equipes defensivas é impedir a execução de comandos colados pelo usuário e vigiar processos do Microsoft Defender executando fora de seus diretórios originais.
O caso é um exemplo raro de batismo duplo confirmado: cada fornecedor encontrou a família por caminho próprio e a descrição técnica converge. A análise da Zscaler concentra-se nos artefatos binários — ofuscação, resolução de APIs e protocolo de rede —, enquanto a da SentinelOne contextualiza o ator e os setores atingidos. Lidas juntas, elas permitem montar detecção em camadas, do DNS ao endpoint.
O que é o MLTBackdoor
MLTBackdoor é uma família de backdoor para Windows com comandos típicos de acesso remoto: upload e download de arquivos, mover, renomear e apagar arquivos, criar pastas e ajustar a frequência com que verifica novos comandos. O diferencial é a capacidade de carregar Beacon Object Files (BOFs), o mesmo formato de pós-exploração popularizado pelo Cobalt Strike, o que permite ao operador adicionar funções sem recompilar o agente. O backdoor também conta com um kill switch que o apaga do disco e executa cargas direto na memória, sem gravar arquivos intermediários.
Segundo a SentinelOne, o Mistic foi implantado em organizações de seguro, educação, TI e serviços profissionais, num padrão oportunista: o grupo compromete em escala e depois avalia quais acessos valem venda. A empresa liga o backdoor, com confiança baixa, ao corretor de acesso inicial rastreado como Woodgnat (também conhecido como KongTuke), cujo toolkit ModeloRAT já apareceu em ataques que implantaram o ransomware Qilin. O foco aqui difere dos infostealers de varejo, como o Acreed, herdeiro do trono do LummaC2: o alvo é acesso corporativo de longo prazo, não logs de navegador.
Como a infecção acontece
A cadeia documentada pela Zscaler começa com uma isca ClickFix em página relacionada ao setor automotivo: a vítima é induzida a copiar um comando, colar e executar. O comando usa conhost.exe em modo headless para baixar com curl um arquivo de um domínio gerado pelo DGA do dia, extrai o pacote com tar e executa rundll32 sobre a DLL. O pacote traz dois arquivos: data.bin, criptografado em RC4 com a chave guardada no próprio cabeçalho, e a DLL responsável por decifrar o segundo estágio. O payload decifrado é o backdoor em si, que após se atualizar reutiliza o nome endpointdlp.dll e é carregado por sideloading através do executável assinado da Microsoft Defender, o mpextms.exe — o mesmo binário legítimo que a SentinelOne observou carregando a EndpointDlp.dll maliciosa em um incidente investigado pela equipe.
O nome da DLL não é casual: EndpointDlp sugere ferramenta corporativa de prevenção de perda de dados e ajuda o artefato a passar despercebido em inventários de software. Em um dos casos da SentinelOne, um loader version.dll usava ganchos em GetModuleFileNameW e LoadLibraryW para redirecionar o carregamento, e uma DLL.NET exibia tela falsa de login para roubar credenciais.
Ofuscação que atrasa a análise
O relatório técnico da ThreatLabz mostra um binário construído para resistir à engenharia reversa. A ofuscação Mixed Boolean-Arithmetic (MBA) reescreve operações simples como somas em expressões longas e matematicamente equivalentes: cerca de 95% do código do MLTBackdoor é composto por cálculos que não fazem nada além de gerar ruído. A técnica é aplicada em tempo de compilação por um ofuscador baseado em LLVM e combinada com Control Flow Flattening (CFF), que transforma cada bloco de decisão em uma máquina de estados dentro de um laço switch, com o valor de estado guardado na pilha e mascarado por XOR antes de cada comparação.
As strings não são cifradas: são construídas byte a byte na pilha, muitas vezes em funções separadas e costuradas depois. O domínio de C2 cwrtwright.com, por exemplo, só se revela se o analista traçar as transições da máquina de estados, o que derrota ferramentas como o FLOSS, que procuram caracteres consecutivos na memória. A resolução de APIs usa hashing DJB2 em três variantes — incluindo o prefixo Beacon para símbolos de BOF —, e as chamadas ao kernel evitam a API do usuário por syscalls indiretas estilo Hell’s Gate: na inicialização, o malware monta uma tabela com 31 hashes de funções Nt, os números de serviço correspondentes e endereços de gadgets em ntdll, e salta direto ao syscall.
Há ainda uma bateria de 10 verificações anti-análise: presença de hypervisor, temporização com RDTSC, porta de depuração, hashes SHA-256 de nomes de processos de análise, títulos de janela como x64dbg e Wireshark, drivers de sandbox, RAM abaixo de 2GB e máquina com um único processador. O resultado não aborta a execução: os bits são agregados numa máscara e enviados ao C2 no primeiro contato, informando ao operador se a vítima é um ambiente real ou um laboratório.
Esse esforço lembra o visto em outras famílias recentes, como o Warden Stealer escrito em Rust, e mostra por que a análise de artefatos precisa combinar execução controlada com deofuscação assistida.
Sinais de comprometimento
Como a execução é majoritariamente em memória e existe kill switch, a caça deve priorizar telemetria e rede antes de artefatos em disco. Os indicadores publicados pelas duas equipes se cruzam:
| Indicador | O que significa |
|---|---|
| cwrtwright.com | C2 reconstruído de strings na pilha; também listado como IOC pela SentinelOne |
| powwowski.com/payloads/update.zip | URL usada pelo próprio backdoor para se atualizar |
| endpointdlp.dll | nome reutilizado pela DLL maliciosa nas amostras das duas análises |
| mpextms.exe fora do diretório do Defender | binário assinado legítimo usado como host de sideloading |
| conhost.exe headless com curl, tar e rundll32 | cadeia de instalação típica do golpe ClickFix |
| version.dll com gancho em LoadLibraryW | loader observado carregando a DLL maliciosa em incidente real |
A SentinelOne publica ainda hashes SHA-256 de várias amostras de endpointdlp.dll, do loader version.dll e de pacotes MSI usados na entrega, além de dezenas de domínios de C2 e endereços IP — material pronto para importar nos sistemas de detecção.
Ações defensivas priorizadas
P1 — feche a porta de entrada: os golpes ClickFix, FileFix e CrashFix dependem de o usuário colar comandos no Executar ou na barra de endereço do Explorador. Restrinja esses vetores com WDAC ou AppLocker, alerte sobre conhost executando em modo headless a partir de sessão interativa e treine as equipes para nunca colar comandos sugeridos por páginas web.
P1 — vigie o sideloading: gere alerta quando mpextms.exe ou outros binários assinados do Defender executarem de caminhos fora de Program Files, e quando DLLs com nomes de ferramenta de segurança corporativa aparecerem em diretórios temporários. A sequência curl, tar e rundll32 disparada por conhost é uma assinatura comportamental de alto valor.
P2 — cubra a camada de rede: o backdoor usa um algoritmo de geração de domínios para não perder contato quando o C2 fixo cai; monitore consultas DNS com padrão de DGA e bloqueie os domínios e IPs publicados. Como o primeiro handshake informa ao operador o resultado das checagens anti-análise, mantenha a telemetria de syscall via ETW ativa para capturar o tráfego mesmo em execução puramente em memória.
P2 — cace o encadeamento: onde houver Mistic, procure ModeloRAT (empacotado em WinPython portátil), persistência em chaves Run com nomes como AnyDesk ou Splashtop e uso de net.exe e PowerShell para enumeração de domínio. O acesso tende a ser revendido: detectar o backdoor cedo corta a cadeia antes da etapa final.