Hackers implantaram o Falcon, um framework de comando e controle (C2) baseado em Node.js e rastreado como XG ou Xiang Ge, contra entidades governamentais em um país do Oriente Médio e em quatro países do Sudeste Asiático entre março e maio de 2026.
A Unit 42 identificou alvos que abrangem organizações de relações exteriores, defesa, administração interna e aplicação da lei, o que indica coleta estratégica de inteligência.
O framework executa JavaScript malicioso dentro de navegadores comprometidos, permitindo a interceptação de credenciais, a vigilância e o acesso autenticado a aplicativos governamentais sem exigir, de imediato, um implante convencional no dispositivo final (endpoint).
Como os hackers usam o framework Falcon C2
O Falcon oculta sua interface de gerenciamento atrás de uma página em branco com o clique com o botão direito desativado; pressionar a tecla F9 três vezes seguidas revela o formulário de login.
Seu painel administrativo escuta na porta TCP 8080, enquanto o listener voltado às vítimas usa a porta 443 e exibe jogos de Tetris ou Snake em JavaScript como camuflagem. Essa porta TCP corresponde ao Protocolo de Controle de Transmissão.
Os operadores injetam tags de script em portais de webmail e aplicativos governamentais comprometidos. Cada sessão recebe um implante ofuscado por meio de codificação XOR (ou exclusivo) de byte único. Loaders compartilhados, estruturas de URL e identificadores Hm_lvt_ no estilo do Baidu conectam o Falcon ao PeckBirdy.
O implante estabelece uma conexão WebSocket de C2 protegida por TLS (Segurança da Camada de Transporte) e negocia a criptografia AES-256-CBC (Padrão de Criptografia Avançada). Uma chave pública RSA de 2048 bits (sistema criptográfico de Rivest, Shamir e Adleman) protege a chave AES de 32 bytes e o vetor de inicialização gerados durante a troca.
Os operadores executam JavaScript por meio de eval e obtêm informações por meio das APIs (interfaces de programação de aplicações) do framework. A conexão persiste enquanto a aba infectada permanece aberta, com batimentos a cada minuto mantendo as sessões ociosas ativas.
No entanto, a criptografia não é universal: o Falcon oferece um mecanismo alternativo sem criptografia, chamado Comet, e a indisponibilidade da funcionalidade Web Crypto aciona alternativas de codificação mais fracas.
Para ampliar o acesso, o Falcon oferece extensões para Chrome e Firefox, sendo que o pacote do Chrome se disfarça de "PDF Viewer". Sua configuração Manifest V3 solicita 40 permissões, incluindo acesso a todos os sites.
A Unit 42 afirmou que componentes em segundo plano coletam credenciais, cookies, histórico e downloads, enquanto o arquivo analytics-core.js intercepta operações de fetch e XMLHttpRequest.
Suas capacidades de proxy reverso permitem que invasores enviem requisições por meio dos navegadores das vítimas, usando credenciais e cookies de sessão existentes. Módulos adicionais substituem downloads, manipulam o conteúdo da área de transferência e coletam comunicações do Gmail, Discord, Zalo e X.
Em uma entidade policial do Sudeste Asiático, os operadores coletaram nomes de usuário antes de apresentar aos usuários selecionados falsos avisos de atualização do Adobe Flash Player.
Esses avisos entregaram o Antino, um implante escrito em Rust com carimbos de data de compilação que remontam a outubro de 2025. O Antino decodifica a configuração de sua seção .cfg do formato PE (Portable Executable) usando a chave XOR 0xABCD e estabelece persistência no Registro do Windows, na chave Run, por meio do sdiagnhost.exe.
Suas comunicações com a Microsoft Graph API usam o OneDrive para batimentos, envio de tarefas e transferências. Dez comandos oferecem suporte a execução de shell, PowerShell, operações com arquivos e scripts Rhai.
Os defensores devem investigar extensões não autorizadas em modo de desenvolvedor, permissões excessivas, scripts injetados em webmail e artefatos inesperados de armazenamento Hm_lvt_.
A caça a ameaças deve correlacionar a atividade de WebSocket nos navegadores com autenticações em locatários estrangeiros do OneDrive e gravações no diretório antino/. Uma extensão do setor de justiça permaneceu ativa por mais de três semanas, roubando credenciais em texto simples e capturando capturas de tela do sistema interno de documentos, o que demonstra visibilidade operacional contínua.
IOCs (indicadores de comprometimento)
Nota: endereços IP e domínios foram intencionalmente desfigurados (defanged), com colchetes, por exemplo [.], para evitar resolução ou links acidentais. Restaure o formato original apenas em plataformas controladas de inteligência de ameaças, como MISP, VirusTotal ou seu SIEM.
