Pesquisadores de cibersegurança divulgaram detalhes de uma campanha ativa, conduzida em múltiplas ondas, que utiliza iscas de engenharia social baseadas em supostas atualizações de Adobe e Zoom, análises de documentos corporativos e utilitários de manutenção de sistema para instalar de forma discreta programas de Monitoramento e Gerenciamento Remoto (RMM, na sigla em inglês), como o ConnectWise ScreenConnect.
A campanha foi batizada de SMOKE#SCREEN pela Securonix Threat Research.
"A campanha se apoia em um kit de ferramentas composto por droppers em VBScript (Visual Basic Script), carregadores em arquivos de lote (batch), executáveis compilados em .NET e uma página HTML de phishing, todos apontando, em última instância, para um servidor de staging ativo baseado em WsgiDAV no endereço 207.174.0[.]143:8080", afirmaram os pesquisadores Shikha Sangwan, Akshay Gaikwad e Aaron Beardslee em um relatório compartilhado com o The Hacker News.
Os ataques bem-sucedidos culminam com a instalação de um agente do ScreenConnect, que se comunica com um dos três servidores de retransmissão controlados pelos atacantes, concedendo acesso remoto persistente aos sistemas comprometidos. A atividade ainda não foi atribuída a nenhum ator ou grupo de ameaça conhecido.
As descobertas se somam ao crescente abuso de ferramentas legítimas de RMM por agentes maliciosos, já que isso permite contornar controles de segurança e aproveitar a presença disseminada dessas soluções em ambientes corporativos para se misturar a ferramentas de TI autorizadas, sem a necessidade de implantar um trojan de acesso remoto desenvolvido especificamente para esse fim.
A Securonix afirmou que sua investigação começou após a descoberta de um servidor WsgiDAV ativo, que cumpria duas funções: armazenar cargas maliciosas em staging e manter o controle de comando e controle (C2, na sigla em inglês) sobre máquinas já infectadas por meio de um relay do ScreenConnect na porta 8041.
Uma análise das strings de configuração do relay do ScreenConnect embutidas nas cargas MSI e EXE revelou três clusters distintos de C2, cada um associado a binários de isca com temas de atualização de software, revisão de documentos e visualizador de documentos.
O vetor de acesso inicial é avaliado como spear-phishing, com e-mails servindo como conduto para um dropper em Visual Basic Script (também conhecido como VBScript) ofuscado, que primeiro realiza uma série de verificações de ambiente e anti-análise para garantir uma execução segura. O script também enumera os processos em execução e aborta caso algum dos seguintes executáveis esteja rodando:
- Wireshark (wireshark.exe)
- Process Monitor (procmon.exe)
- Oracle VM VirtualBox (vboxservice.exe)
- Broadcom VMware Tools (vmtoolsd.exe)
- Citrix XenServer (xenservice.exe)
- Fiddler Classic (fiddler.exe)
Se as verificações de ambiente forem aprovadas, o script prossegue descriptografando um comando em PowerShell que busca uma carga em C# no endereço "207.189.11[.]170" e a executa. Alternativamente, foram observados ataques que usam iscas com temas corporativos para enganar recipients e levá-los a executar um VBScript que, no fim, resulta na instalação do ScreenConnect.
Uma terceira amostra vinculada à atividade é entregue como um arquivo compactado, a partir do qual um script em lote é executado para desativar a Interface de Verificação Antimalware (AMSI, na sigla em inglês) do Windows, escalar privilégios por meio de um prompt de Controle de Conta de Usuário (UAC, na sigla em inglês), desativar as proteções do SmartScreen via modificações no Registro e, em seguida, remover o fluxo de dados alternativo (ADS, na sigla em inglês) Zone.Identifier do arquivo MSI baixado antes de executá-lo.
"A estratégia de entrega do ator também tem alternado entre múltiplos serviços de hospedagem confiáveis", disse a Securonix. "Uma página de phishing inicial ('zoom-update.html') entrega sua carga por meio de um link compartilhado do Dropbox, contornando filtros de reputação de domínio, já que o Dropbox é uma plataforma normalmente autorizada em ambientes corporativos."
"Um carregador .NET compilado ('MemoryLoader.cs') faz referência a um Túnel Rápido do Cloudflare (subscription-magnetic-recommended-meat.trycloudflare.com), um serviço projetado para exposição temporária de servidores locais que raramente é monitorado. O próprio servidor de staging executa o cloudflared.exe, confirmando que o ator utiliza o binário do Cloudflare diretamente em sua infraestrutura para gerar esses túneis efêmeros."
Independentemente da isca de phishing utilizada, todos os caminhos de ataque levam ao mesmo destino: a instalação do cliente ScreenConnect, que se conecta a um servidor de retransmissão configurado e permite ao operador abrir uma sessão de área de trabalho remota na máquina da vítima.
"O que torna essa campanha particularmente notável para os defensores é o arco observável no modus operandi do ator", afirmou a Securonix. "De droppers cautelosos em VBScript criptografados com XOR a sequências agressivas de destruição do Defender em nove etapas e, mais recentemente, um retorno à discrição com timing anti-EDR (Detecção e Resposta de Endpoint) e pacotes criptografados autossuficientes, a campanha se assemelha a uma corrida armamentista em tempo real entre atacante e defensor."
Para combater a ameaça, as organizações são orientadas a restringir a execução de arquivos MSI não confiáveis, monitorar quando processos tentam adulterar produtos de segurança, auditar o uso legítimo de ferramentas de RMM, verificar processos suspeitos em PowerShell e "cmd.exe", e aplicar configurações rígidas de UAC para impedir que usuários padrão ignorem os prompts do UAC para realizar tarefas administrativas.
Trapaças falsas para Xeno Roblox distribuem malware ladrão em Java
A divulgação ocorre enquanto a Bitdefender alertou sobre uma campanha separada, na qual instaladores falsos do Xeno Executor, promovidos por meio de fóruns de jogos e comunidades no Discord, são usados para iniciar uma cadeia de infecção em Java com múltiplas etapas, que implanta um ladrão de informações capaz de roubar credenciais, além de cookies de navegadores, contas de Discord, Roblox e Minecraft, dados de carteiras de criptomoedas e informações de pagamento.
O ladrão, chamado Powercat, também pode registrar teclas digitadas, acessar a webcam, transmitir a área de trabalho da vítima, manipular arquivos, executar comandos em PowerShell e conceder aos atacantes controle interativo do computador infectado.
"A carga final combina roubo de informações, vigilância, persistência, acesso remoto, manipulação de arquivos e execução de comandos", disseram os pesquisadores da Bitdefender Janos Gergo Szeles e Silviu Stahie.
Acredita-se que a atividade esteja em curso desde o início de 2026, com um aumento registrado na segunda metade de março. Alguns aspectos da campanha foram documentados anteriormente pela ThreatLocker no fim de março de 2026, destacando o uso, pelo ator da ameaça, de trapaças falsas para jogos populares de PC para distribuir o Powercat.
As supostas trapaças vêm em formato de arquivos compactados que imitam uma instalação legítima do Xeno, usando nomes de arquivo plausíveis. As vítimas são instruídas a executar um "xeno.exe" que, em vez de abrir a trapaça, roda a primeira etapa do malware.
A carga verifica a presença de um Java Runtime Environment, extrai um caso esteja ausente e, em seguida, lê um arquivo local ("XenoIcon.jpg") que contém as chaves necessárias para validar sua execução junto ao servidor de C2 ("solthere[.]net"). Na sequência, ela inicia um arquivo JAR ofuscado disfarçado de "decompiler.exe", que realiza verificações de ambiente, registra a vítima e baixa a carga final do malware.
A terceira etapa consiste em um ladrão e malware de vigilância baseado em Java, capaz de coletar dados sensíveis, capturar telas e filmagens da webcam, transmitir a área de trabalho da vítima e monitorar a atividade de teclado e mouse. Ele também pode baixar e enviar arquivos, executar comandos via PowerShell e abrir um shell interativo para acesso manual hands-on-keyboard, dando ao atacante controle total sobre a máquina.
"O roubo de informações pessoais começa com o malware reunindo dados sobre softwares potencialmente interessantes instalados no sistema da vítima", disse a Bitdefender. "Isso permite que os operadores adaptem sua estratégia e priorizem quais dados roubar."
Entre os aplicativos visados estão:
- Navegadores (Brave Browser, Chrome, Edge, Opera, Opera GX e Vivaldi)
- Carteiras de criptomoedas (Atomic, Cake Wallet, Exodus, Monero Wallet, SafePal e Tron Wallet)
- Ferramentas de desenvolvimento de software (Git, ferramentas da JetBrains, Microsoft Visual Studio e Python IDLE)
- Launchers de jogos (Battle.net, Epic Games Launcher, Riot Client, Rockstar Games Launcher e Steam)
- VPN (ExpressVPN, Mullvad VPN, NordVPN e Surfshark)
- Aplicativos de mensagens (Discord, Snapchat, Telegram e WhatsApp)
- Instalações de Roblox e Minecraft (Feather, Lunar, Meteor, Modrinth, Prism e o launcher oficial do Minecraft)
Para mirar as carteiras de criptomoedas Exodus, o ladrão verifica se a versão 26.1.5 do Exodus está instalada no sistema e, em caso afirmativo, descompacta o arquivo "app.asar" e injeta código JavaScript para capturar tokens válidos e exfiltrá-los para o servidor de C2.
"Iscas relacionadas a jogos seguem eficazes porque exploram o interesse dos usuários em obter vantagem, acessar funcionalidades restritas ou evitar a detecção de sistemas anti-cheat", afirmou a Bitdefender.
"O malware entregue é consideravelmente mais capaz do que um ladrão de credenciais típico. Suas capacidades de acesso remoto e execução de comandos também significam que o comprometimento pode continuar além do roubo inicial de informações, podendo levar à destruição de dados ou permitir que os operadores utilizem o sistema infectado em outras atividades cibercriminosas."
