Uma nova e sofisticada ferramenta “packer-as-a-service” conhecida como Shanya surgiu no submundo do crime cibernético, tornando-se rapidamente a arma preferida dos principais grupos de ransomware que buscam neutralizar as defesas dos endpoints.
De acordo com uma nova pesquisa da Sophos, Shanya é uma evolução no mercado “EDR killer”, sucedendo efetivamente ferramentas anteriores como HeartCrypt.
O malware foi projetado para cegar monitores de segurança e encerrar processos de proteção, abrindo caminho para cargas de ransomware como Akira, Medusa e Qilin criptografarem as redes das vítimas sem interferência.
Pesquisadores primeiro identificado a ferramenta no final de 2024 em fóruns clandestinos em língua russa. Comercializado como “VX Crypt” por uma entidade que usa o nome “Shanya”, uma referência a um rio no oeste da Rússia, o serviço prometia capacidades avançadas de evasão.
Seu conjunto de recursos incluía carregamento de módulo não padrão, geração de stub exclusiva para cada cliente, desvio de AMSI (Antimalware Scan Interface) e resistência a sandboxing.
Os criadores do malware também se orgulhavam da proteção de tempo de execução para assemblies .NET e da capacidade de execução sem serem detectados por longos períodos, uma afirmação que infelizmente se manteve verdadeira em incidentes recentes.
Como Shanya funciona
Shanya opera principalmente por meio de carregamento lateral de DLL, uma técnica em que código malicioso imita bibliotecas legítimas do sistema para enganar aplicativos confiáveis e fazê-lo executá-lo.
Nos ataques analisados, o malware frequentemente abusava do consent.exe como um legítimo Usuário do Windows Componente de controle de conta para carregar uma DLL maliciosa, geralmente chamada de msimg32.dll.
Uma vez ativo, Shanya implanta um ataque “traga seu próprio driver vulnerável” (BYOVD). Ele descarta um driver legítimo, mas vulnerável, como o ThrottleStop.sys, junto com um driver de kernel malicioso.
Ao explorar o driver vulnerável, Shanya obtém acesso de gravação em nível de kernel, permitindo encerrar à força uma vasta lista de processos e serviços associados a produtos antivírus e EDR (Endpoint Detection and Response).
A distribuição geográfica de malware emergente pode ser uma informação útil. No caso de Shanya, encontrámos o packer em todos os quatro hemisférios ao longo de 2025.
O carregador em si é altamente ofuscado, usando “código indesejado” e hashing de API para frustrar a análise. Ele oculta sua configuração no Process Environment Block (PEB) e modifica DLLs do sistema na memória para executar sua carga secretamente.
Impacto no mundo real
Ao longo de 2025, a telemetria mostrou que o Shanya foi implantado globalmente, com concentrações notáveis nos Emirados Árabes Unidos e em partes da Ásia.
O carregador carrega uma segunda instância de uma DLL do sistema Windows. Em todos os casos que analisamos, esse componente do sistema era shell32.dll.
Sua aplicação mais destrutiva foi a precursora do ransomware. Desde a sua estreia no ataque da Medusa em abril de 2025, tornou-se um elemento básico para o Ransomware Akira grupo.
À medida que o mercado de ferramentas de evasão amadurece, os investigadores alertam que as ofertas de “packer-as-a-service” provavelmente continuarão a ser um componente crítico da cadeia de fornecimento de ransomware, necessitando de vigilância constante por parte dos defensores.
Em setembro de 2025, a ferramenta também foi vinculada a uma campanha “ClickFix” direcionada ao setor hoteleiro.
Os invasores usaram páginas falsas de verificação do Booking.com para enganar os funcionários do hotel e fazê-los baixar o malware, que posteriormente implantou o Porta dos fundos CastleRAT.
Os fornecedores de segurança atualizaram suas assinaturas para detectar essa ameaça. A Sophos identifica o packer e seus componentes sob os nomes de família ATK/Shanya-B, ATK/Shanya-C e ATK/Shanya-D.
Siga-nos emGoogle Notícias,LinkedIneXpara obter atualizações instantâneas e definir GBH como fonte preferencial emGoogle.