Um grupo cibercriminoso recém-identificado, o TA585, foi descoberto por pesquisadores de segurança cibernética por executar uma das operações mais autônomas e tecnicamente avançadas no cenário de ameaças atual.
Ao contrário de muitos grupos que alugam acesso ou terceirizam a entrega, o TA585 controla sua própria infraestrutura, operações de phishing e implantação de malware.
Uma poderosa ferramenta de malware
Descoberto pela equipe da Proofpoint, o TA585 é um dos principais distribuidores do MonsterV2, uma família de malware premium anunciada pela primeira vez em fóruns clandestinos em fevereiro de 2025.
Comercializado como um Trojan de acesso remoto (RAT), ladrão e carregador, o MonsterV2 oferece aos criminosos a capacidade de roubar dados, monitorar vítimas e instalar cargas adicionais.
A Proofpoint observou que o malware evita sistemas localizados em países da Comunidade de Estados Independentes (CEI) e é vendido por assinatura.
A versão “Standard” custa US$ 800 por mês, enquanto a edição “Enterprise”, que inclui módulos adicionais, como acesso ao HVNC e Chrome Developer Tools, custa US$ 2000 por mês.
Entrega e filtragem sofisticadas
As primeiras campanhas do TA585 apareceram em fevereiro de 2025, disfarçadas de comunicações do Internal Revenue Service (IRS) e da Small Business Administration (SBA). Essas mensagens usadasa técnica ClickFix, um método de engenharia social que convence os usuários a executar um script do PowerShell manualmente. Isso acionou um segundo script que acabou instalando o MonsterV2.
Ao contrário da maioria dos agentes de ameaças que dependem de corretores externos ou botnets, o TA585 usa sites comprometidos para hospedar JavaScript malicioso.
Os visitantes recebem uma sobreposição CAPTCHA falsa, solicitando que verifiquem se são humanos. Nos bastidores, os sistemas do TA585 executam verificações de filtragem detalhadas para garantir o envolvimento genuíno do usuário antes de entregar o malware.
Canais de ataque em expansão
A atividade do grupo se ampliou no final de 2025 com uma campanha temática do GitHub que explorou o sistema de notificação da plataforma.
Ao marcar usuários legítimos em alertas de segurança falsos, o TA585 atraiu vítimas para sites controlados por atores que imitavam a interface do GitHub e mais uma vez dependiam do método ClickFix. Alguns desses ataques distribuíram outros malwares, incluindo Rhadamanthys.
O próprio MonsterV2 é escrito em C++, Go e TypeScript, e apresenta criptografia robusta e medidas de autoproteção.
A análise da Proofpoint destacou várias funções e recursos importantes, incluindo:
-
Roubo de dados, incluindo credenciais, carteiras criptográficas e informações do navegador
-
Controle remoto da área de trabalho por meio de HVNC
-
Gravação de webcam e captura de tela
-
Baixando e executando cargas adicionais
Os pesquisadores da Proofpoint também observaram o desenvolvimento contínuo, com o malware recebendo atualizações frequentes e pequenas correções, como erros de digitação corrigidos em versões mais recentes.
“[We] prevemos que continuaremos a ver o surgimento de novas famílias de malware, muitas das quais contêm uma variedade de recursos incorporados em um malware”, disse a empresa Avisado.
“[We] recomendar o treinamento de usuários para reconhecer a técnica ClickFix e impedir que usuários não administrativos executem o PowerShell.”