){kind=link}
Um grupo de criminosos especializados em vender acessos a redes corporativas está usando uma nova ferramenta furtiva para se infiltrar em empresas de seguros, educação, tecnologia e serviços profissionais desde abril de 2026. A ameaça, identificada pelas equipes de segurança da Broadcom, se chama Mistic – tratando-se de um falha oculta projetada para operar em silêncio por longos períodos, um backdoor.
O grupo por trás da campanha é conhecido como KongTuke, rastreado também pelos nomes 404 TDS, TAG-124 e Woodgnat. Ele não é do tipo que ataca uma empresa específica com um objetivo claro. Nesse caso a estratégia dos criminosos é lançar uma rede ampla, comprometer o maior número possível de organizações e depois avaliar quais acessos têm mais valor para vender a terceiros, incluindo grupos de ransomware.
smart_display
Nossos vídeos em destaque
O que é um backdoor
Um backdoor é basicamente uma porta de entrada secreta instalada em um sistema comprometido. Com ela, os invasores conseguem retornar à rede quando quiserem, executar comandos e manter controle sobre os sistemas da vítima.
O Mistic se destaca pela forma como evita deixar rastros. Ele roda completamente na memória do computador, sem gravar nenhum arquivo no disco. Isso dificulta muito a detecção por ferramentas de segurança tradicionais, que costumam escanear arquivos armazenados.
Se o operador perceber que foi descoberto, o próprio Mistic consegue se apagar do sistema, eliminando qualquer evidência de que esteve ali. Essa combinação de execução em memória com capacidade de autodestruição indica que o objetivo é manter acesso prolongado e discreto.
Como o ataque começa
A porta de entrada usada pelo KongTuke é uma técnica chamada ClickFix. Ela funciona assim: a vítima visita um site comprometido, geralmente hospedado em um WordPress, e recebe uma mensagem falsa. A notificação pode ser um aviso de erro ou uma instrução de segurança, que a convence a copiar e executar um comando no próprio computador.
Em versões anteriores das campanhas do grupo, os criminosos usaram uma extensão maliciosa do Google Chrome que fingia ser um bloqueador de anúncios para travar o navegador da vítima propositalmente. Depois, exibiam uma mensagem pedindo que o usuário rodasse um “scan de segurança” para resolver o problema. Esse comando, na verdade, instalava o malware.
)
Mais recentemente, o grupo passou a enviar mensagens pelo Microsoft Teams se passando por uma conta de suporte técnico falsa para enganar funcionários e iniciar a mesma cadeia de ataque.
O que o Mistic faz depois de instalado
Uma vez dentro do sistema, o backdoor consegue fazer várias coisas. Ele pode enviar ou baixar arquivos, mover e apagar documentos, criar pastas e executar código recebido diretamente do servidor de controle, tudo isso sem salvar nada no disco.
Ele também suporta o carregamento de módulos adicionais chamados Beacon Object Files, que permitem expandir as capacidades do malware conforme a necessidade dos operadores.
Para se camuflar, o Mistic usa uma técnica chamada DLL side-loading, que aproveita um executável legítimo de segurança da Microsoft para carregar o código malicioso sem levantar suspeitas.
)
A conexão com o ransomware
O Mistic é instalado junto com outra ferramenta do grupo, o ModeloRAT, um trojan de acesso remoto escrito em Python. Em pelo menos um caso investigado, esse conjunto de ferramentas foi usado em ataques que resultaram na instalação do ransomware Qilin, um tipo de malware que criptografa os dados da vítima e exige pagamento para devolvê-los.
A Broadcom aponta que o uso de ferramentas próprias por grupos ligados a sequestros de dados está se tornando cada vez mais comum. O Mistic, nesse contexto, parece ter sido desenvolvido pelos próprios corretores de acesso para atender às necessidades dos afiliados de ransomware com quem trabalham, e não diretamente por um grupo especializado em extorsão digital.
Acompanhe o TecMundo nas redes sociais. Inscreva-se em nossa newsletter e canal do YouTube.