O crime está terceirizando a evasão
Campanhas modernas de phishing já não dependem apenas da qualidade da engenharia social. Cada vez mais, operadores utilizam serviços especializados para garantir que o malware consiga atravessar soluções de segurança sem ser detectado. Um dos exemplos mais recentes é o Cruciferra, um serviço de crypter associado a atores chineses que vem sendo utilizado para proteger RATs, keyloggers e infostealers contra mecanismos modernos de detecção.
Segundo a análise técnica divulgada pela Proofpoint, o Cruciferra reúne diversas técnicas avançadas de evasão em uma única plataforma comercializada na underground, permitindo que diferentes grupos criminosos utilizem o mesmo conjunto de recursos para aumentar a taxa de sucesso de campanhas de phishing.
O que é um crypter?
Um crypter é uma ferramenta utilizada para modificar e proteger um malware antes da distribuição. Seu objetivo não é adicionar novas funcionalidades ao código malicioso, mas alterar sua aparência e seu comportamento durante a execução para reduzir a probabilidade de detecção por antivírus, EDRs, sandboxes e mecanismos baseados em assinatura.
No caso do Cruciferra, esse processo vai além da simples criptografia do executável. O serviço incorpora diversas técnicas de evasão durante a execução do payload, dificultando significativamente análises automatizadas.
Modelo comercial reduz a barreira técnica
Disponível desde 2025 em fóruns clandestinos, o Cruciferra é comercializado em modelo de assinatura mensal com valores entre US$ 450 e US$ 2.000. Isso permite que operadores com pouca experiência técnica utilizem recursos normalmente encontrados apenas em campanhas altamente sofisticadas.
Na prática, o operador precisa apenas escolher o malware que será distribuído e utilizar o crypter para prepará-lo antes da campanha de phishing.
Campanhas continuam explorando engenharia social
As campanhas observadas continuam utilizando e-mails com temas tributários, documentos fiscais, notificações governamentais e assuntos financeiros para induzir o usuário à execução do arquivo malicioso. Após a execução inicial, entram em ação as técnicas de evasão implementadas pelo crypter.
Os principais setores observados incluem instituições financeiras, organizações de saúde, órgãos públicos e empresas ligadas às áreas contábil e fiscal.
Técnicas utilizadas pelo Cruciferra
BYOVD
O uso de Bring Your Own Vulnerable Driver permite carregar drivers legítimos vulneráveis para obter acesso privilegiado ao kernel e interferir no funcionamento de soluções de segurança.
Process Ghosting
Uma implementação modificada dessa técnica permite executar o payload diretamente na memória, reduzindo artefatos em disco e dificultando análises forenses tradicionais.
API Unhooking
O crypter restaura funções monitoradas por produtos EDR e utiliza chamadas indiretas de sistema para reduzir a visibilidade do comportamento malicioso.
Criptografia customizada
Mais de 90 rotinas criptográficas podem ser utilizadas para gerar payloads únicos, reduzindo significativamente a eficiência de mecanismos baseados em assinatura.
DLL Sideloading
Bibliotecas legítimas são utilizadas como vetor para carregar componentes maliciosos durante a execução do processo.
Malwares protegidos pelo serviço
Entre as famílias identificadas estão Agent Tesla, AsyncRAT, DarkCloud Stealer, Formbook, Phantom Stealer, Remcos RAT, Snake Keylogger, ValleyRAT, XLoader, XWorm e zgRAT. Essas ameaças possuem funcionalidades voltadas ao roubo de credenciais, keylogging, exfiltração de dados e acesso remoto.
O desafio para as organizações
Do ponto de vista defensivo, o problema não está apenas no malware utilizado, mas na combinação entre engenharia social, evasão em tempo de execução e técnicas capazes de reduzir a efetividade de controles tradicionais.
Ambientes que dependem exclusivamente de antivírus baseados em assinatura ou que não validam continuamente seus controles de detecção podem apresentar lacunas que somente são identificadas durante uma simulação prática.
Como reduzir a exposição
- Implementar proteção avançada para e-mail e sandbox de anexos.
- Monitorar carregamento de drivers e eventos relacionados ao kernel.
- Aplicar atualizações de sistemas e drivers vulneráveis.
- Utilizar soluções com detecção comportamental.
- Aplicar princípios de menor privilégio.
- Segmentar a rede para reduzir movimentação lateral.
- Realizar campanhas contínuas de conscientização contra phishing.
Onde entra o Red Team?
Técnicas como BYOVD, Process Ghosting, DLL Sideloading e evasão de EDR dificilmente são avaliadas apenas por scanners automatizados. Exercícios de Red Team permitem validar se os controles implantados realmente conseguem detectar cadeias modernas de ataque utilizando as mesmas técnicas observadas em operações reais.
Na Antisec, avaliações de Red Team, Pentest e Purple Team são conduzidas para identificar essas lacunas antes que sejam exploradas por adversários, fornecendo evidências técnicas que apoiam a priorização de investimentos em segurança.
