Os agentes de ameaças começaram a usar a ferramenta forense digital e resposta a incidentes (DFIR) Velociraptor em ataques que implantam o ransomware LockBit e Babuk.
Os pesquisadores do Cisco Talos avaliam com confiança média que o invasor por trás das campanhas é um adversário baseado na China rastreado como Storm-2603.
O Velociraptor é um ferramenta DFIR de código aberto criado por Mike Cohen. O projeto foi adquirido pela Rapid7, que fornece uma versão aprimorada para seus clientes.
A empresa de segurança cibernética Sophos informou em 26 de agostoque os hackers estavam abusando do Velociraptor para acesso remoto. Especificamente, os agentes de ameaças o aproveitaram para baixar e executar o Visual Studio Code em hosts comprometidos, estabelecendo um túnel de comunicação seguro com a infraestrutura de comando e controle (C2).
Em um relatório hoje cedo, empresa de proteção contra ransomwareHalcyon avalia queStorm-2603 está conectado comEstado-nação chinêsatores, é o mesmo grupo que Warlock ransomwareeCL-CRI-1040, e atuou como uma afiliada do LockBit.
Acesso persistente furtivo
O Cisco Talos diz que o adversário usou uma versão desatualizada do Velociraptor que era vulnerável a um problema de segurança de escalonamento de privilégios identificado como CVE-2025-6264, que poderia permitir a execução arbitrária de comandos e assumir o controle do host.
No primeiro estágio do ataque, o agente da ameaça criou contas de administrador local que foram sincronizadas com o Entra ID e as usou para acessar o console do VMware vSphere, dando a eles controle persistente sobre as máquinas virtuais (VMs).
“Depois de obter acesso inicial, os atores instalaram uma versão desatualizada do Velociraptor (versão 0.73.4.0) que foi exposta a uma vulnerabilidade de escalonamento de privilégios (CVE-2025-6264) que poderia levar à execução arbitrária de comandos e controle de endpoint”, explica o Cisco Talos.
Os pesquisadores observaram que o Velociraptor ajudou os invasores a manter a persistência, lançando-o várias vezes, mesmo depois que o hospedeiro foi isolado.
Eles também observaram a execução de comandos no estilo Impacket smbexec para executar programas remotamente e a criação de tarefas agendadas para scripts em lote.
Os invasores desabilitaram a proteção em tempo real do Defender modificando os GPOs do Active Directory e desativaram o comportamento e o monitoramento de atividades de arquivos/programas.
As soluções de detecção e resposta de endpoint (EDR) identificaram o ransomware implantado nos sistemas de destino do Windows como LockBit, mas a extensão para os arquivos criptografados era “.xlockxlock”, vista nos ataques de ransomware do Warlock.
EmSistemas VMware ESXi, os pesquisadores encontraram um binário Linux que foi detectado comoBabuk ransomware.
Os pesquisadores do Cisco Talos também observaram o uso de um criptografador PowerShell sem arquivo que gerava chaves AES aleatórias por execução, que se acredita ser a principal ferramenta para “criptografia em massa nas máquinas Windows”.
Antes de criptografar os dados, o invasor usou outro script do PowerShell para exfiltrar arquivos para fins de dupla extorsão. O script usa ‘Start-Sleep’ para inserir atrasos entre as ações de upload para evitar ambientes de sandbox e análise.
Os pesquisadores do Cisco Talos fornecem dois conjuntos de Indicadores de comprometimento (IoCs) observados nos ataques, que incluem arquivos que o agente da ameaça carregou nas máquinas comprometidas e arquivos do Velociraptor.
O Evento de Validação de Segurança do Ano: O Picus BAS Summit
Junte-se ao Cúpula de Simulação de Violação e Ataque e experimente o Futuro da validação de segurança. Ouça os principais especialistas e veja como BAS alimentado por IA está transformando a simulação de violação e ataque.
Não perca o evento que moldará o futuro da sua estratégia de segurança