O DarkCore, um trojan de acesso remoto (RAT, sigla de remote access trojan) vendido com um navegador dedicado para reutilizar sessões roubadas, pode permitir que invasores acessem Gmail, WhatsApp e MediaFire sem digitar senhas.
O proxy reverso anunciado direciona o tráfego pelo endereço IP (sigla de Internet Protocol, ou protocolo de internet) do dispositivo infectado, fazendo a atividade não autorizada se parecer com um acesso legítimo da vítima.
As descobertas reúnem um anúncio de um mercado de crimes cibernéticos com a análise de um executável do Windows e de um atalho malicioso que o acompanha.
Importante: os pesquisadores verificaram componentes do malware, mas não comprovaram que todas as funções de navegador anunciadas funcionam.
Uma listagem datada de 11 de agosto de 2026 descreve o DarkCore como um implante nativo em C++ que oferece roubo de credenciais, transferência de arquivos, controle de área de trabalho oculta e proxy reverso.
Uma captura de tela do vendedor exibiu 118 linhas de credenciais, embora essas entradas não comprovem o número de vítimas comprometidas.
A principal ameaça é o sequestro de sessão. Em vez de concluir um novo login, o invasor reutiliza cookies que representam uma sessão autenticada.
A Microsoft documentou como cookies de sessão roubados podem permitir que invasores se passem por usuários depois que a autenticação multifator já foi concluída.
Pesquisadores de segurança da BlackFog descobriram o DarkCore. O navegador anunciado lista WhatsApp, YouTube, Gmail e MediaFire. De acordo com o changelog, os operadores podem injetar cookies roubados e navegar pela conexão de rede da vítima.
Sessões com o DarkCore RAT
Separadamente, a computação de rede virtual oculta (HVNC, sigla de hidden virtual network computing) permite controlar um navegador executado em uma área de trabalho oculta do Windows.
Imagens do vendedor mostram o Gmail aberto por meio dessa interface. As duas abordagens exigem um ponto de apoio prévio no endpoint, em vez de explorar uma vulnerabilidade recém-identificada nesses serviços.
O atalho PdfView.lnk que acompanha o malware se disfarça de "PDF Report Launcher" e usa um ícone de PDF (sigla de Portable Document Format).
Ao ser executado, ele abre uma janela de comando minimizada que baixa um relatório legítimo do Banco Mundial junto com um executável.
Seus comandos ocultam curl.exe e START por meio de fatiamento de cadeias de caracteres, remoção de caracteres e expansão com CALL.
O arquivo isca abre como um PDF temporário, enquanto um comando separado obtém o ReportPDFReader.exe em update[.]cdnlinks[.]org.
Antes de executar qualquer um dos arquivos, o atalho tenta excluir seu fluxo de dados alternativo Zone.Identifier, o que pode reduzir os avisos relacionados a downloads.
As operações são independentes: a falha em obter o documento não impede a tentativa de download da carga maliciosa.
Os pesquisadores não conseguiram verificar se o executável hospedado remotamente corresponde à amostra analisada. O método original de distribuição do atalho também permanece desconhecido.
A amostra do Windows, de 64 bits e sem assinatura digital, contém o marcador DARKCORE01 e interfaces associadas a área de trabalho remota e HVNC.
Os pesquisadores recuperaram sua configuração ao fazer engenharia reversa de um decodificador que rotaciona bytes de chave e aplica XOR em 758 bytes da seção .data2.
As configurações recuperadas especificam comunicação TCP direta com 217.156.8[.]148:43592 (TCP, sigla de Transmission Control Protocol, ou protocolo de controle de transmissão). As opções de Tor e WebSocket estão desativadas.
Os campos de nomenclatura usam backgroundTaskHost.exe e backgroundTaskHost, imitando um processo legítimo do Windows, embora as flags de instalação e de persistência na inicialização estejam desativadas nesta versão.
Módulos adicionais podem ser mapeados na memória ou gravados como DLLs antes de serem carregados. O caminho baseado em disco cria arquivos com nomes começando por "dc", carrega-os por meio de LoadLibraryA e depois tenta excluí-los.
A lição mais ampla é que a proteção por senha, isoladamente, não consegue conter um comprometimento de sessão autenticada. A Microsoft recomenda revogar as sessões comprometidas, redefinir as credenciais e investigar as alterações feitas pelos invasores.
Nesta investigação, equipes de defesa devem correlacionar a execução do atalho, downloads suspeitos com curl, o endpoint de comando e controle (C2) recuperado e a atividade transitória de DLLs. Também devem tratar as funções anunciadas de sequestro de contas como alegações que exigem validação adicional, e não como resultados comprovados de forma independente.
Indicadores de comprometimento (IoCs)
Observação: endereços IP e domínios foram intencionalmente desfigurados (ex.: [.]) para evitar resolução ou links acidentais. A conversão deve ser refeita apenas em plataformas controladas de inteligência de ameaças, como MISP, VirusTotal ou seu SIEM (sistema de gerenciamento de eventos e informações de segurança).
