Autoridades indianas alertaram que o grupo SideCopy mira organizações da Índia, incluindo instituições acadêmicas, com ataques de phishing direcionado (spear-phishing) que implantam o ReverseRAT em sistemas Windows.
O alerta, de 15 de outubro de 2026, classifica a ameaça como de severidade média e destaca um malware capaz de roubar senhas, capturar telas e coletar informações sensíveis.
A campanha combina anexos enganosos, atalhos maliciosos do Windows, scripts ofuscados e utilitários legítimos do sistema operacional.
Grupo SideCopy mira organizações indianas
Pesquisadores da Trellix documentaram uma cadeia de infecção em várias etapas, que estabelece persistência antes de carregar na memória o trojan de acesso remoto (RAT, na sigla em inglês). Essa estratégia dificulta a detecção por varreduras convencionais de arquivos.
A invasão começa com um e-mail de phishing contendo um arquivo ZIP armado. Dentro dele, um atalho malicioso do Windows (LNK) se disfarça de documento, com nome enganoso e um ícone falsificado de PDF, incentivando o destinatário a executá-lo.
Ao abrir o atalho, é baixada uma aplicação HTML (HTA) ofuscada a partir de infraestrutura controlada pelos atacantes, no endereço docsportal[.]in. O Windows executa esse script por meio do mshta.exe, o que permite aos atacantes explorar um utilitário legítimo do sistema como host de execução.
A HTA incorpora o arquivo ne4snapk.dll, que é carregado no processo mshta.exe por meio de desserialização .NET. Essa biblioteca de vínculo dinâmico (DLL) atua como um dropper, ou seja, um componente que extrai e instala outros arquivos. Ele extrai três componentes compactados: appT.bat, startT.hta e commskl.docx. O documento serve como isca enquanto os scripts avançam a infecção.
O CSK afirma que a persistência depende de uma chave Run do Registro do Windows, que inicia o appT.bat quando o usuário afetado entra na sessão. O script em lote então inicia o mshta.exe para executar o startT.hta em segundo plano, permitindo que o malware retome a atividade sem nova interação de phishing.
A HTA secundária reconstrói sua carga útil ofuscada e carrega de forma reflexiva o ioluegnt.dll, identificado pela Trellix como ReverseRAT. Esse processo usa desserialização .NET para converter conteúdo codificado em uma carga útil ativa na memória.
Embora a fase final de execução reduza a exposição a varreduras baseadas em disco, a invasão ainda cria scripts e outros artefatos. Trata-se, portanto, de uma infecção em estágios, com carga útil na memória, e não de um ataque totalmente sem arquivos (fileless).
O ReverseRAT pode coletar metadados do sistema, detalhes de softwares instalados, capturas de tela, senhas e o conteúdo da área de transferência. Os operadores também podem executar comandos, manipular arquivos, enviar conteúdo adicional e iniciar sessões de shell, o que lhes dá amplo acesso aos dispositivos comprometidos.
A infraestrutura de comando e controle (C2) relatada inclui o endereço dns[.]educationportals[.]biz, com comunicações pela porta TCP 5863. O malware também usa uma chave criptográfica codificada diretamente no programa (hardcoded) para proteger o tráfego de C2 e as informações roubadas.
As equipes de segurança devem priorizar atividades incomuns do mshta.exe, especialmente conexões com infraestrutura externa seguidas de execução de scripts e alterações inesperadas na chave Run do Registro. Correlacionar esses comportamentos pode revelar a cadeia de infecção com mais eficácia do que depender apenas de nomes de arquivos.
As organizações devem reforçar a filtragem de e-mails, restringir a execução de atalhos maliciosos e implantar detecção comportamental. Infecções suspeitas exigem preservação de evidências e resposta a incidentes, já que as capacidades de vigilância e roubo de arquivos do ReverseRAT criam risco imediato de exposição de dados.
