Transmissão: do YouTube.

Pesquisadores de segurança descobriram uma nova técnica adotada pelo grupo criminoso LeakNet para comprometer redes corporativas: a instalação do ambiente de execução Deno para rodar código malicioso diretamente na memória da máquina vítima. A abordagem reduz vestígios no sistema e dificulta a detecção por ferramentas tradicionais de segurança.

Quem é o LeakNet

O LeakNet é um grupo especializado em ransomware, ativo desde o final de 2024 e com média de três vítimas por mês. O grupo sequestra dados das vítimas por meio de criptografia e costuma exigir pagamento para liberar o acesso.

Como o ataque se inicia

A infiltração começa por um método conhecido como ClickFix, que se baseia em engenharia social: a vítima visualiza uma página falsa que simula uma falha ou atualização e é induzida a copiar e colar um comando no terminal do próprio computador. Ao executar o comando, a própria vítima aciona a sequência de ataque — prática já observada em campanhas de outros grupos, como Termite e Interlock.

Instalação do Deno e estratégia

Após a ação da vítima, dois scripts são executados no sistema: um em PowerShell (.ps1) e outro em VBScript (.vbs), identificados pelos pesquisadores com os nomes Romeo e Juliet. Esses scripts instalam o Deno, um ambiente de execução legítimo e de código aberto para JavaScript/TypeScript. Como o Deno é assinado digitalmente, o sistema operacional e muitos antivírus o tratam como confiável, e os atacantes exploram essa confiança.

A ReliaQuest denominou a tática BYOR (Bring Your Own Runtime), que consiste em trazer um runtime legítimo para executar código hostil em vez de implantar um binário malicioso facilmente identificado.

Execução em memória e movimentos posteriores

O código malicioso roda diretamente na memória (execução in-memory) e nunca é gravado no disco, o que reduz significativamente os artefatos que ferramentas de análise forense costumam verificar. Ao iniciar, o malware faz fingerprinting do host, gera um identificador único para a máquina e estabelece comunicação com um servidor de Comando e Controle (C2), consultando-o periodicamente por novas instruções enquanto busca um payload de segundo estágio.

Imagem: Ap

Com presença consolidada, os invasores ampliam o controle dentro da rede usando técnicas como DLL sideloading. Nesse caso, colocam uma DLL maliciosa chamada jli.dll em um diretório USOShared dentro de ProgramData, que é carregada por um componente legítimo do Java. Para mapear credenciais, usam a ferramenta klist e, com credenciais obtidas, deslocam-se lateralmente por meio do PsExec, utilitário legítimo da Microsoft para executar processos remotamente.





Antes de acionar o ransomware, os atacantes exfiltram cópias dos dados da vítima para buckets do Amazon S3 — tráfego que, por ser comum em ambientes corporativos, pode passar despercebido.

Sinais que podem indicar a presença da campanha

  • Execução do Deno fora de ambientes de desenvolvimento;
  • Uso do msiexec acionado a partir de navegadores de forma suspeita;
  • Comportamento anômalo do PsExec;
  • Tráfego de saída inesperado para buckets do Amazon S3;
  • DLL sideloading em diretórios não usuais, como USOShared em ProgramData.

Equipes de segurança podem monitorar esses indícios para detectar tentativas semelhantes, apesar da cadeia de ataque seguir etapas técnicas sofisticadas.

Com informações de Tecmundo