Hackers chineses exploram falhas do SharePoint para implantar backdoors, ransomware e carregadores

Os pesquisadores da Unidade 42 identificaram sobreposições significativas entre a cadeia de exploração ToolShell relatada pela Microsoft visando vulnerabilidades do SharePoint e um cluster de atividades rastreadas apelidado de CL-CRI-1040.

Esse cluster, ativo desde pelo menos março de 2025, implanta um pacote de malware personalizado chamado Projeto AK47, composto por backdoors multiprotocolo, ransomwaree carregadores de carregamento lateral DLL.

A análise da Microsoft atribui a atividade ao Storm-2603, um suspeito de ser um agente de ameaças baseado na China, com links de alta confiança estabelecidos por meio de artefatos baseados em host e rede.

Sobreposições na atividade de ameaças

As operações financeiramente motivadas do CL-CRI-1040 incluem associações anteriores com afiliados do LockBit 3.0 e o site de dupla extorsão Warlock Client, embora os laços de espionagem não possam ser descartados devido ao envolvimento simultâneo de atores.

A análise retrospectiva revela a implantação de um Backdoor do IIS comumente mal utilizado em comunidades de língua chinesa, sugerindo ainda um potencial nexo chinês, enquanto evidências como Tox IDs compartilhados o vinculam a campanhas de ransomware.

O Projeto AK47, nomeado após caminhos de arquivos PDB recorrentes, engloba subprojetos como AK47C2, um backdoor que suporta protocolos DNS e HTTP via componentes dnsclient e httpclient e AK47 ransomware, publicamente conhecido como X2ANYLOCK devido à sua extensão de arquivo .x2anylock.

Um arsenal versátil de malware

O dnsclient evolui entre as versões: as primeiras iterações 202503 usam JSON codificado em XOR em subdomínios como update.updatemicfosoft[.]com, fragmentando dados para contornar os limites de consulta DNS, enquanto 202504 simplifica para formatos não JSON com chaves de sessão para execução de comando confiável e exfiltração de resultados.

Httpclient espelha isso com HTTP POSTs baseados em curl de cargas JSON codificadas. O ransomware emprega criptografia híbrida AES-RSA, encerra processos, enumera unidades e descarta notas com um Tox ID consistente para negociações.

De acordo com a Unit42 relatório, apresenta evasão por meio de verificações de carimbo de data/hora em objetos específicos, autoterminando após 6 de junho de 2026. Os carregadores abusam do sideload de DLL com executáveis legítimos, como 7z.exe, para invocar pontos de entrada de ransomware.

Ferramentas adicionais em arquivos, incluindo PyPyKatz, SharpHostInfo, Masscan e PsExec, indicam um amplo kit de ferramentas de hacking, com droppers LockBit 3.0 confirmando links de afiliados.

A mudança do CL-CRI-1040 do LockBit 3.0 para as operações do Warlock Client, evidenciada por bancos de dados vazados e Tox IDs compartilhados, ressalta suas motivações financeiras, embora o relatório Storm-2603 da Microsoft observe implantações anteriores de ransomware Warlock sem sobreposições binárias diretas.

A cadeia do ToolShell explora CVEs como CVE-2025-49704, CVE-2025-49706, CVE-2025-53770 e CVE-2025-53771 para entregar essas cargas úteis.

As proteções da Palo Alto Networks, incluindo Advanced WildFire para análise de malware, Advanced URL Filtering e DNS Security para domínios maliciosos e Cortex XDR/XSIAM para defesa de endpoint, mitigam essas ameaças.

Esse cluster em evolução destaca colaborações complexas de atores, combinando crimes cibernéticos com possíveis elementos patrocinados pelo Estado.

Indicadores de comprometimento

The Ultimate SOC-as-a-Service Pricing Guide for 2025–Baixe de graça