Três grupos hackers atacam empresas russas utilizando uma combinação de ransomware, backdoors e técnicas avançadas para permanecer dentro das redes comprometidas.
Relatórios divulgados pela Kaspersky detalham campanhas atribuídas ao NightEagle, Hacking Cat e Toy Ghouls, grupos com perfis e objetivos diferentes, mas que mostram como ataques corporativos estão ficando mais difíceis de identificar.
As operações envolvem desde credenciais legítimas de VPN e servidores Microsoft Exchange até Active Directory, ransomware capaz de se comportar como um destruidor de arquivos e canais pouco convencionais para comunicação com máquinas infectadas.
É um daqueles casos em que o malware é apenas parte da história. Em vários momentos, os invasores aproveitam ferramentas e serviços legítimos para avançar pela infraestrutura sem necessariamente fazer muito barulho.
NightEagle usa credenciais legítimas para entrar nas redes
Ativo pelo menos desde 2023, o NightEagle, também conhecido como APT-Q-95, aparece nas investigações utilizando novas técnicas de persistência e movimentação lateral.
Segundo a Kaspersky, em grande parte dos incidentes analisados os invasores conseguiram acessar VPNs corporativas utilizando credenciais válidas previamente comprometidas. Algumas conexões partiram de endereços associados a túneis do Cloudflare WARP e a provedores europeus de infraestrutura virtual.
Depois do acesso inicial, uma das ferramentas utilizadas é o GhostContainer, um backdoor modular capaz de fornecer controle sobre servidores Microsoft Exchange.
O malware pode executar código, manipular arquivos, carregar módulos adicionais e funcionar como túnel para redirecionamento de tráfego. Para dificultar sua identificação, procura se apresentar como um componente comum do servidor.
A Kaspersky também encontrou componentes de projetos de código aberto incorporados ao GhostContainer, incluindo Neo reGeorg e código relacionado à exploração da vulnerabilidade CVE-2020-0688.
O método exato utilizado para instalar o backdoor nos servidores Exchange ainda não foi determinado.
Active Directory também entra na mira
Uma vez dentro da infraestrutura, o NightEagle utiliza ferramentas de tunelamento para alcançar outros sistemas. Entre os recursos observados estão Microsoft dev tunnels e o projeto rdp2tcp para redirecionamento de tráfego por RDP.
Os pesquisadores também identificaram tentativas de explorar vulnerabilidades no Active Directory para elevar privilégios e realizar movimentação lateral.
Entre elas está a CVE-2019-0708, conhecida como BlueKeep. Em determinados ataques, a falha foi utilizada para criar uma conta local e adicioná-la aos grupos de administradores e usuários de Remote Desktop.
O grupo também realizou tentativas de DCSync, técnica que pode permitir a obtenção de informações de autenticação relacionadas ao domínio.
O objetivo é ampliar progressivamente o controle sobre a infraestrutura, obter hashes de senhas, utilizar tickets Kerberos de longa duração e chegar aos controladores de domínio.
Hacking Cat combina ransomware e ataques destrutivos
O segundo grupo detalhado pela Kaspersky é o Hacking Cat, descrito pela empresa de segurança como um coletivo hacktivista pró Ucrânia ativo desde fevereiro de 2024.
Conhecido inicialmente por desfiguração de sites e vazamentos de dados, o grupo teria mudado sua estratégia nos últimos meses e passado a utilizar ataques envolvendo criptografia e destruição de informações.
Uma das ferramentas observadas é o Gorilla RAT, trojan de acesso remoto desenvolvido em Go e distribuído após a exploração de vulnerabilidades em servidores Exchange.
Depois de infectar a máquina, o malware estabelece comunicação com um servidor remoto e permite executar comandos, coletar informações do sistema, transferir arquivos e criar túneis TCP para acessar outros recursos da rede.
Mas é outra família de malware que chama ainda mais atenção.
Monkey Ransomware pode impedir a recuperação dos arquivos
O Hacking Cat também aparece associado a diferentes versões do Monkey Ransomware, desenvolvidas em Rust, .NET, C++ e Golang. As variantes conseguem atingir Windows, Linux e ambientes VMware ESXi.
Algumas versões encerram processos e interferem nos mecanismos de recuperação antes de iniciar a criptografia.
Uma variante escrita em Rust gera uma chave de 32 bytes e utiliza ChaCha20 Poly1305 para criptografar os arquivos. Em algumas amostras, porém, essa chave simplesmente não é armazenada.
Isso significa que determinados ataques podem funcionar, na prática, como um wiper. Mesmo deixando uma mensagem de resgate, a ausência da chave pode tornar a recuperação dos arquivos inviável.
Outras variantes conseguem desabilitar recursos de recuperação, apagar backups, interferir no Microsoft Defender e extrair credenciais do Outlook. A versão em Golang é direcionada principalmente a Linux e VMware ESXi.
A Kaspersky também levantou a hipótese de uso de inteligência artificial durante o desenvolvimento de parte das ferramentas após encontrar funções sem utilidade para os sistemas atacados. A própria análise trata isso como uma possibilidade, não como evidência definitiva.
O Hacking Cat, por sua vez, contestou parte da atribuição. Após a divulgação do relatório, o grupo afirmou no Telegram que algumas ferramentas seriam suas, mas negou ser responsável pelos lockers associados pela Kaspersky às operações.
Toy Ghouls aposta em backdoor próprio
O terceiro grupo é o Toy Ghouls, também conhecido como Bearlyfy, Laboo.boo e Feral Wolf. Ativo desde 2025 e descrito como financeiramente motivado, o grupo já utilizou construtores vazados dos ransomwares Babuk e LockBit antes de desenvolver o GenieLocker.
Agora, os pesquisadores encontraram também um backdoor próprio chamado Bird Agent, identificado inicialmente em julho de 2026.
O malware possui duas variantes. Uma utiliza o broker HiveMQ e o protocolo MQTT para comunicação. A segunda aproveita o Element, aplicativo baseado no protocolo Matrix.
Nos ataques analisados, os invasores utilizam Windows Remote Management para enviar o backdoor e seus arquivos de configuração às máquinas comprometidas.
Depois de instalado, o Bird Agent consegue estabelecer persistência como serviço do Windows, coletar informações da máquina, receber comandos e enviar os resultados aos operadores.
Na versão que utiliza HiveMQ, comandos podem ser executados pelo PowerShell. Já a variante baseada no Element utiliza a linha de comando do Windows.
Ataques estão misturando ferramentas legítimas e malware próprio
As três campanhas mostram estratégias bastante diferentes. O NightEagle procura ampliar o controle sobre redes corporativas e sistemas de identidade. O Hacking Cat aparece associado a ransomware e ferramentas destrutivas, enquanto o Toy Ghouls está migrando de projetos disponíveis publicamente para malware desenvolvido especificamente para suas operações.
Também chama atenção o uso de VPNs, RDP, PowerShell, projetos de código aberto e serviços legítimos ao longo das invasões.
Isso cria um desafio adicional para quem monitora ameaças. Uma ferramenta conhecida e legítima não se torna maliciosa simplesmente por existir dentro da rede. É o comportamento, a sequência de ações e o contexto que podem revelar que algo está errado.
E talvez essa seja a parte mais interessante dessas campanhas. Os grupos continuam desenvolvendo malware, mas também estão aprendendo a aproveitar justamente as ferramentas que já fazem parte do ambiente que pretendem comprometer. Para passar despercebido, às vezes é melhor parecer normal do que inventar algo completamente novo.
