Cibercriminosos usam GitHub para controlar ataques e burlar Windows Defender

Uma investigação conduzida pelo Adversary Pursuit Group (APG), divisão de inteligência da empresa de segurança Blackpoint Cyber, revelou uma nova cadeia de ataques cibernéticos que utiliza um framework de carregamento de código batizado de “HollowFrame”. A ameaça emprega arquivos modificados para ocultar a execução de rotinas maliciosas e utiliza repositórios na nuvem para comandar os equipamentos infectados de forma discreta.

A intrusão, documentada em um relatório publicado em 30 de julho pelos pesquisadores Nevan Beal e Sam Decker, teve como alvo inicial estações de trabalho em um escritório de advocacia. O ataque destacou-se pela fragmentação das etapas operacionais, o que dificulta a identificação por ferramentas tradicionais de monitoramento ao espalhar as ações entre diferentes arquivos de sistema e serviços corporativos.

Do phishing à neutralização de defesas

O vetor inicial consistiu no envio de e-mails de engenharia social direcionados a funcionários específicos. A mensagem continha um link malicioso que redirecionava o alvo para uma página de download hospedada na plataforma Mega, disponibilizando um arquivo compactado protegido por senha.

Dentro do pacote estava um atalho do Windows disfarçado de documento. Ao ser executado, o elemento acionava comandos em ferramentas nativas e legítimas do sistema operacional para decodificar e descarregar sequências de instruções ocultas diretamente na memória RAM.