Uma campanha cibernética recém-descoberta com a ferramenta de código aberto Nezha foi observada visando aplicativos da web vulneráveis.
A partir de agosto de 2025, os analistas da Huntress rastrearam uma intrusão sofisticada que usou técnicas criativas de envenenamento de log para implantar um shell da web PHP, posteriormente gerenciado com o AntSword e seguido pela instalação do agente Nezha e do malware Ghost RAT.
A descoberta marca o primeiro relatório público do Nezha sendo usado para facilitar o comprometimento do servidor web. O utilitário de monitoramento e gerenciamento de tarefas, normalmente empregado para administração legítima do sistema, foi reaproveitado por agentes de ameaças vinculados à infraestrutura baseada na China.
Como o ataque se desenrolou
Os investigadores da Huntress descobriram que os invasores obtiveram acesso por meio de um painel do phpMyAdmin exposto à Internet.
Usando um IP hospedado na AWS, eles mudaram o idioma da interface para chinês simplificado antes de executar uma série de comandos SQL. Essas ações habilitaram o log de consulta geral no MariaDB e o direcionaram para gravar em um arquivo .php, plantando efetivamente um backdoor oculto nos dados de log normais.
Os invasores então controlaram o servidor web comprometido usando o AntSword, baixando um arquivo chamado “live.exe”, que acabou sendo o agente Nezha. Uma vez instalado, esse agente se conecta a um servidor de comando em c.mid[.]al, permitindo monitoramento remoto e execução de tarefas.
“Este incidente destaca a necessidade de garantir que os aplicativos voltados para o público sejam corrigidos”, disseram os pesquisadores da Huntress.
“Ao entender o processo passo a passo usado por invasores como esse, podemos ajustar melhor nossas ferramentas.”
A Huntress descobriu que mais de 100 sistemas de vítimas estavam se comunicando com o painel Nezha do invasor.
A maioria das máquinas afetadas estava localizada em Taiwan, Japão, Coreia do Sul e Hong Kong. Os analistas também observaram um pequeno número de infecções em todo o mundo, inclusive nos EUA, Índia e vários países europeus.
Os invasores utilizaram o Nezha para executar comandos do PowerShell que desativaram as verificações do Windows Defender antes de implantar o “x.exe”, uma variante do Ghost RAT.
O malware estabeleceu persistência sob o nome “SQLlite” e se comunicou com domínios de comando e controle (C2) registrados por meio de entidades vinculadas à China.
Medidas de proteção
Os pesquisadores da Huntress recomendaram que as organizações tomem várias medidas defensivas para evitar invasões semelhantes.
Esses incluem:
-
Garantir que os aplicativos voltados para o público sejam corrigidos e reforçados
-
Garantir que a autenticação seja necessária sempre que possível, inclusive em ambientes de teste
-
Obter visibilidade e lógica de detecção para detectar atividades pós-exploração, como shells da Web, criação de serviços suspeitos e executáveis executados em diretórios incomuns
Os defensores devem permanecer alertas, pois os agentes de ameaças continuam a combinar software legítimo com intenção maliciosa de evitar a detecção.