Um servidor ligado a uma campanha de malware atribuída a um grupo associado ao Midnight Blizzard seguia entregando arquivos maliciosos em 5 de outubro de 2026.
O servidor respondeu com HTTP (protocolo de transferência de hipertexto) 200 para vários caminhos de carga, inclusive um usado por arquivos simples de atalho da Internet do Windows para iniciar um stager (módulo de carregamento inicial) do PowerShell.
A descoberta mostra que a divulgação pública e as baixas pontuações de reputação não significam necessariamente que a infraestrutura da operação foi retirada do ar.
A Microsoft acompanha atividades relacionadas como CaptiveCrunch e as atribui ao Storm-2945, que considera um subgrupo operacional do Midnight Blizzard.
A ReversingLabs (RL) afirma que sua análise de arquivos não confirma nem contradiz essas atribuições e descreve a atividade como ligada ao Midnight Blizzard.
A partir de dois hashes (códigos de identificação digital) de malware publicados pela Anthropic, a RL pesquisou sua telemetria histórica e relacionou as amostras a um servidor de preparação (staging) no endereço 213[.]145[.]86[.]112.
Os dois arquivos eram um stager do PowerShell, que a Microsoft identificou como ChocoShell, e um backdoor escrito em Go, conhecido como CornFlake.
A RL havia observado o backdoor pela primeira vez em 6 de julho e o stager em 10 de julho, semanas antes dos relatórios públicos. Em 1º de agosto, a empresa os classificou como maliciosos, um dia depois de a Microsoft publicar suas conclusões.
Uma busca comportamental baseada em caminhos de beaconing (sinais periódicos de comunicação) e rótulos distintivos encontrou outras cinco versões do stager, com hashes diferentes.
Juntas, as amostras compartilhavam um perfil de 35 capacidades, incluindo execução oculta do PowerShell, execução de código decodificado em Base64 (codificação de dados), coleta do histórico do navegador e beaconing para o mesmo servidor.
A análise da ReversingLabs amplia sua pesquisa anterior sobre o relatório de setembro da Anthropic a respeito do GTG-20006, um operador de espionagem que a Anthropic afirma ser compatível com reportagens públicas que o vinculam ao Midnight Blizzard.
Malware do Midnight Blizzard
As cinco versões chegaram à telemetria da RL entre 9 de julho e 3 de agosto, padrão compatível com recompilações repetidas, embora a RL diga que seus dados não permitem comprovar que foram produzidas por IA.
A Anthropic relatou que o operador usou o Claude para modificar e reimplantar implantes depois que produtos de segurança os detectaram.
Novas pistas revelaram dois atalhos curtos do Windows apontando para caminhos de download de stagers, dois stagers obtidos do servidor e ligações entre domínios de phishing e endereços de hospedagem.
Os atalhos não continham código executável, por isso os mecanismos de antivírus não os sinalizaram. Seu significado malicioso veio das URLs (localizadores de recursos na web) que abriam.
A RL também encontrou no servidor um arquivo disfarçado de pacote JavaScript, além de uma biblioteca polyfill (código de compatibilidade) legítima usada no tráfego da campanha.
Durante a análise de URLs em 5 de outubro, o servidor de preparação respondeu com HTTP 200 para /s, para uma URL /s específica de atalho e para um caminho de pacote JavaScript falso. Cada requisição entregou um arquivo que a RL classificou como malicioso. Vários domínios de phishing relacionados também continuavam acessíveis, embora uma réplica do Outlook Web Access tenha retornado HTTP 403.
Os resultados são um retrato datado: mostram que a infraestrutura respondeu durante essa análise, mas não se ela continua ativa agora.
O malware da operação combina roubo de credenciais e persistência. A Microsoft descreve o ChocoShell roubando dados de navegadores e tokens do Microsoft 365, enquanto o CornFlake oferece acesso remoto persistente e coleta informações dos sistemas infectados.
A análise da RL observou, de forma independente, o backdoor em Go acessando perfis de navegador e dados do Microsoft Teams. Também identificou um possível servidor adicional, em 192[.]142[.]52[.]31, tratado como pista de investigação e não como indicador confirmado.
A RL constatou que os sinais tradicionais de reputação eram fracos: a maioria dos servidores analisados tinha poucas detecções de terceiros.
Por isso, as relações entre arquivos, URLs, domínios e infraestrutura ganham especial valor. Os hashes podem mudar entre versões, mas comportamentos como caminhos de beaconing e rotinas de coleta podem persistir.
O relatório mais amplo da Microsoft sobre o CaptiveCrunch descreve manipulação de tráfego envolvendo redes de hotelaria, portais cativos (captive portals) e phishing, além da entrega de malware e de phishing por código de dispositivo voltado a contas do Microsoft 365.
A atualização de 5 de outubro também relatou atividade renovada no fim de setembro, incluindo uma variante em Rust do CornFlake.
A atividade contínua reforça a necessidade de investigar além dos hashes publicados: buscar comportamentos e conexões de rede relacionados, revisar usos suspeitos do PowerShell e acessos a credenciais, e tratar com cautela os pedidos de Wi-Fi de hotéis ou eventos para instalar atualizações ou executar comandos.
IOCs (indicadores de comprometimento)
Nota: endereços IP (protocolo de internet) e domínios foram intencionalmente desfigurados, como em [.], para evitar resolução ou links acidentais. A conversão deve ser refeita apenas em plataformas controladas de inteligência de ameaças, como MISP, VirusTotal ou seu SIEM (sistema de gerenciamento de eventos e informações de segurança).
