Invasores que implantavam o ransomware Anubis atingiram uma organização dos Estados Unidos (EUA) em outubro de 2026 com uma backdoor personalizada até então não documentada. O código malicioso ficou escondido em duas máquinas com Microsoft SQL Server (SQL, linguagem de consulta estruturada), disfarçado de componente do Chrome em uma delas e de arquivo do VMware na outra. A carga de criptografia foi bloqueada, e não há evidências de que algum arquivo tenha sido criptografado.
A carga maliciosa parece amplamente inalterada em relação à versão Sphinx. Como os afiliados executam os ataques, as táticas podem variar entre as invasões.
O grupo Hawkmoth reivindicou cerca de 96 vítimas nos últimos 12 meses, sendo 52% delas nos EUA. Em uma invasão com Anubis em julho de 2026, a Symantec identificou quatro ferramentas de exfiltração em um único ataque: Megasync, WinSCP, Filezilla e S3browser. A Symantec não determinou como os invasores obtiveram acesso inicial no caso de outubro.
O Lindnor foi executado como serviço sob dois nomes de arquivo. Rodou como healthcontroller64.exe em uma pasta que imitava o diretório de descompactação de um componente do Chrome, e como svchelper.exe em uma pasta do VMware.
Ele enviou ao servidor de comando e controle (C&C) o ID do processo, a versão do sistema operacional (OS), o caminho do arquivo, o nome do computador, o nome do usuário, o domínio e o servidor de logon. Foi configurado com um servidor C&C primário e outro de contingência, ambos acessados pela porta 443.
Backdoors personalizadas são incomuns em ataques de ransomware, que geralmente dependem de ferramentas públicas, de uso duplo e nativas do próprio sistema, a chamada técnica living-off-the-land. A Symantec também identificou o Lindnor em redes de duas organizações sem relação entre si, embora não tenha havido atividade de ransomware nelas.
Em cerca de uma hora, os operadores lançaram pelo menos 13 executáveis destinados a encerrar produtos de segurança.
Eles também implantaram cinco drivers assinados, mas vulneráveis, todos já conhecidos publicamente, em uma abordagem de Traga Seu Próprio Driver Vulnerável (BYOVD, na sigla em inglês Bring Your Own Vulnerable Driver). Dois executáveis, gbbsym.exe e symgooq.exe, se passavam por softwares da Symantec.
A opção -l lista os callbacks do kernel por meio de um driver vulnerável carregado, e a opção -d os lista e remove. Os comandos observados usaram -d. Onze dos 13 executáveis parecem inéditos.
A Symantec atribui o Anubis, a um grupo que rastreia como Hawkmoth. O grupo opera uma operação de ransomware como serviço (RaaS, na sigla em inglês Ransomware-as-a-Service), que surgiu em dezembro de 2024 como uma reformulação do ransomware Sphinx.
Ataque de ransomware Anubis
Tudo foi bloqueado, exceto huntreagent.exe e s1.exe. Os dois arquivos têm o mesmo tamanho, mas hashes diferentes, o que sugere duas versões de uma mesma ferramenta. O padrão indica invasores testando ferramentas até que uma funcionasse.
O documento técnico (whitepaper) da Symantec de junho de 2026, “Lights Out: Defense Evasion in the Age of BYOVD”, explica por que isso importa. Quando um driver assinado é carregado, o kernel do Windows passa a confiar nele.
Uma requisição elaborada pode então explorar a falha do driver para encerrar processos protegidos de antivírus ou de detecção e resposta de endpoint (EDR, na sigla em inglês Endpoint Detection and Response). Centenas de drivers vulneráveis estão em circulação, e ferramentas BYOVD já são rotineiramente incluídas em cargas de RaaS.
A remoção de callbacks, como faz a opção -d, deixa o agente de segurança em execução, porém cego.
Os invasores instalaram o AnyDesk e criaram um novo usuário local, incluído em um grupo local. Também executaram safemode.exe, que configura o AnyDesk para sobreviver a uma inicialização em Modo de Segurança.
Um comando de registro cadastrou o AnyDesk como serviço no caminho HKLM (HKEY_LOCAL_MACHINE) do registro do Windows: HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\AnyDesk.
Softwares de segurança geralmente não funcionam totalmente no Modo de Segurança. Isso dá aos invasores uma janela para usar os drivers vulneráveis e desativar proteções. A técnica não é nova, mas raramente é observada.
O criptografador, iservice.exe, acrescenta a extensão .anubis e deixa notas de resgate chamadas restore files.txt e restore files.html. As notas alegam roubo de dados e ameaçam publicá-los caso as negociações fracassem. Um modo opcional de apagamento esvazia o conteúdo dos arquivos. Neste caso, a carga foi bloqueada antes da fase de criptografia.
Poucos operadores de ransomware desenvolvem as próprias backdoors. O volume de ferramentas para desativar a segurança em uma hora também é incomum. Somado à rota de acesso pelo Modo de Segurança, isso sugere que os invasores esperavam que softwares de segurança interferissem.
A preparação, porém, falhou na última etapa. Equipes de defesa devem monitorar a criação de novos serviços, o carregamento de drivers, alterações no registro do Modo de Segurança e instalações inesperadas do AnyDesk, especialmente em servidores SQL.
Indicadores de Comprometimento
Nota: endereços IP e domínios foram intencionalmente desfigurados (ex.: [.]) para evitar resolução ou hiperlink acidental. A conversão deve ser refeita apenas em plataformas controladas de inteligência de ameaças, como MISP, VirusTotal ou seu SIEM (sistema de gerenciamento de informações e eventos de segurança).
