Operadores do EvilAI Usam Código Gerado por IA e Aplicativos Falsos para Ataques de Grande Alcance

Nas últimas semanas, a Trend™ Research observou uma nova onda de campanhas de malware que infiltram sistemas se passando por ferramentas e softwares de IA legítimos – completos com interfaces realistas, assinatura de código e recursos utilitários convincentes – fazendo com que pareçam legítimos para os usuários finais. Em vez de depender de arquivos obviamente maliciosos, esses trojans imitam a aparência de software real para passarem despercebidos em ambientes corporativos e pessoais, muitas vezes obtendo acesso persistente antes de levantar qualquer suspeita.

A sofisticação e adaptabilidade observadas sugerem o trabalho de um ator de ameaça altamente capacitado. Cada vez mais, os atacantes estão aproveitando ferramentas de IA para gerar código de malware que parece limpo e legítimo, permitindo que evite a detecção por soluções de segurança tradicionais. Essa linha tênue entre software autêntico e enganoso destaca os crescentes desafios enfrentados pelos defensores. Para clareza e consistência em nossos relatórios, a Trend Micro acompanhará essa família de malware como EvilAI.

Vitimologia: Sinais iniciais de uma campanha global

Embora a coleta de dados de nossa telemetria interna tenha começado em 29 de agosto, apenas uma semana de monitoramento revelou a propagação agressiva e rápida do malware EvilAI. Os dados de inteligência de ameaças da Trend mostraram detecções do EvilAI em escala global. A Europa relatou o maior número de casos com 56 incidentes, seguida pelas Américas (Norte, Central e Sul) e AMEA (Ásia, Oriente Médio e África), cada uma com 29. Essa distribuição rápida e ampla em várias regiões indica fortemente que o EvilAI não é um incidente isolado, mas sim uma campanha ativa e em evolução atualmente circulando na natureza.

Tabela 1. As três principais regiões com detecções de malware EvilAI

Países afetados

O alcance global do malware EvilAI é evidente, com o maior número de casos mostrado na Tabela 2. Essa distribuição ampla em diversas regiões destaca o direcionamento não seletivo do EvilAI, aproveitando engenharia social sofisticada e código gerado por IA, com aparência legítima, para infiltrar sistemas de forma imperceptível, evitando a detecção e obtendo acesso persistente para maximizar a interrupção em todo o mundo.

Tabela 2. Os 10 principais países com detecções de malware EvilAI

Indústrias afetadas

A análise da indústria reforça ainda mais esse quadro. As infecções atingiram setores críticos, incluindo manufatura com 58 casos, governo/serviços públicos com 51 e 48 na saúde entre as áreas mais impactadas. Mesmo setores menores relataram casos, conforme mostrado abaixo na Tabela 3. Usando engenharia social sofisticada e código gerado por IA com aparência legítima, o direcionamento não seletivo do EvilAI permite infiltração sem interrupções em setores críticos e não críticos, evitando a detecção e obtendo acesso persistente antes de levantar suspeitas.

Tabela 3. Principais indústrias afetadas com detecções de malware EvilAI

A vitimologia inicial confirma que o EvilAI é uma campanha ampla e indiscriminada, já alcançando impacto global significativo em um curto período de rastreamento. Se não for controlada, essa trajetória sugere o potencial para uma rápida escalada em escopo e gravidade.

Detalhes técnicos

Trojans disfarçados como software legítimo

Uma tática comum e altamente eficaz de evasão usada pelo EvilAI é fazer com que o software malicioso pareça legítimo em todos os níveis. Isso começa com o uso de nomes de arquivos plausíveis e orientados por propósito – cada um escolhido para corresponder à utilidade anunciada do aplicativo. Embora esses nomes possam não imitar marcas de software populares, são genéricos e suficientemente propositais para parecerem autênticos quando vistos pelos usuários. Estes incluem:

• App Suite
• Epi Browser
• JustAskJacky
• Manual Finder
• One Start
• PDF Editor
• Recipe Lister
• Tampered Chef

Distribuição generalizada de malware

Esses aplicativos maliciosos foram amplamente distribuídos online, muitas vezes circulando por meses antes de serem identificados como ameaças, permitindo uma ampla penetração em ambientes corporativos e pessoais. Em vez de comprometer fornecedores confiáveis, os atacantes espalham esses programas falsos por:

• Hospedá-los em sites recém-registrados que imitam portais de fornecedores ou páginas de soluções tecnológicas
• Usar anúncios maliciosos, manipulação de SEO e links de download promovidos em fóruns e mídias sociais
• Incentivar os usuários a baixar ferramentas para produtividade, manuseio de documentos ou capacidades aprimoradas por IA

Como os instaladores muitas vezes funcionam como software legítimo e podem oferecer recursos básicos, os usuários são menos propensos a suspeitar de jogo sujo, permitindo que o malware opere despercebido.

Imitação de alta fidelidade de interfaces de software, nomeação de arquivos e assinaturas digitais

Essa disfarce é ainda reforçada por interfaces de usuário profissionalmente elaboradas e recursos reais e funcionais que correspondem às expectativas definidas pelo nome do aplicativo. Por exemplo, um usuário que abre "Recipe Lister" é apresentado a funcionalidades de gerenciamento de receitas, enquanto "Manual Finder" fornece recursos de busca de documentação. Esse alinhamento direto entre nome e função ajuda a dissipar a suspeita do usuário e encoraja o engajamento.

Para aumentar a credibilidade, os atacantes muitas vezes abusam de assinaturas digitais e certificados confiáveis (Figura 1). Alguns grupos chegam a obter ou usar indevidamente certificados de assinatura de código, concedendo ao seu malware uma camada adicional de confiança ao fazê-lo parecer software “verificado”. Em muitos casos, esses certificados são eventualmente revogados uma vez que o abuso é descoberto.

As seguintes assinaturas digitais foram observadas em amostras identificadas durante nossa caça às ameaças:

• App Interplace LLC
• Byte Media Sdn Bhd
• Echo Infini Sdn. Bhd.
• GLINT SOFTWARE SDN. BHD.
• Global Tech Allies ltd
• Pixel Catalyst Media LLC

Suas datas de registro, que variam entre 2024 e 2025, indicam que essas entidades são relativamente novas. Esse timing pode corresponder a uma tática comumente observada em campanhas de assinatura de malware, em que empresas descartáveis são estabelecidas para obter novos certificados digitais após a revogação dos antigos.

Malware em software funcional

Além disso, os operadores do EvilAI frequentemente criam aplicativos totalmente novos que não correspondem a nenhum produto verdadeiro e legítimo. Em vez de copiar marcas de software estabelecidas, os atores de ameaça inventam novos nomes e recursos de aplicativos, tornando a detecção ainda mais difícil. Em muitos casos, o malware é empacotado com aplicativos funcionais, permitindo que os usuários interajam com software que funciona como esperado enquanto a carga maliciosa oculta opera em segundo plano. Essa abordagem de duplo propósito garante que as expectativas do usuário sejam atendidas, reduzindo ainda mais a chance de suspeita ou investigação.

Uso de IA para evasão de defesa

A IA está sendo cada vez mais usada para ajudar o malware a escapar das ferramentas de segurança. Com a IA para codificação, geração de sites e aplicativos se tornando mainstream, os atacantes agora estão aproveitando LLMs para criar novos códigos de malware que são limpos, com aparência normal e não acionam scanners estáticos. No caso de JustAskJacky, o malware aproveitou a IA para produzir código que parece legítimo à primeira vista, ao contrário de amostras antigas e ruidosas, tornando a detecção muito mais difícil. Ao combinar funcionalidade crível com entrega de carga útil furtiva, a IA está revivendo ameaças clássicas como Trojans e dando-lhes novas capacidades de evasão contra defesas modernas de antivírus (AV).

Fluxo de infecção

A telemetria interna da Trend descobriu uma cadeia de ataque onde aplicativos aparentemente legítimos – muitas vezes anunciados e distribuídos por meio de sites recém-registrados ou de imitação – são usados como iscas para entregar cargas maliciosas (Figura 2). Quando os usuários lançam esses aplicativos, a interface do usuário esperada aparece, mascarando a execução de atividades prejudiciais em segundo plano.

Entrega de malware baseada em Node.js

Desconhecido para o usuário, o aplicativo aciona um comando que lança silenciosamente o Node.js (node.exe) via linha de comando do Windows, executando uma carga de JavaScript armazenada no diretório temporário do usuário (Figura 3). A carga é descartada durante a instalação do aplicativo. A cadeia de execução se assemelha ao seguinte exemplo:

cmd.exe /c start "" /min "C:\Users\<user>\AppData\Roaming\NodeJs\node.exe" "C:\Users\<user>\AppData\Local\TEMP\[GUID]of.js"

Os arquivos JavaScript são normalmente nomeados com um sufixo GUID e terminam em dois caracteres – comumente “or”, “ro” ou “of” – um padrão consistentemente observado tanto em nossas investigações internas quanto em amostras identificadas de repositórios públicos.

Enquanto a janela do aplicativo legítimo opera em primeiro plano, esse processo oculto permite que o malware seja executado despercebido.

Mecanismos de persistência

O malware estabelece persistência criando uma tarefa agendada chamada sys_component_health_{UID}, disfarçada para parecer um processo legítimo do Windows. Essa tarefa executa o Node.js (node.exe) em modo minimizado para executar um arquivo JavaScript malicioso oculto na pasta Temp do usuário. Ela é acionada diariamente às 10:51 AM e se repete a cada quatro horas, garantindo que o malware seja relançado várias vezes ao dia, mesmo após reinicializações do sistema (Figura 4). O seguinte comando foi diretamente observado durante nossa investigação:

C:\windows\system32\cmd.exe /d /s /c "schtasks /Create /TN "sys_component_health_{UID}" /TR "\"C:\Windows\system32\cmd.exe\" /c start \"\" /min \"%^LOCALAPPDATA^%\Programs\nodejs\node.exe\" \"%^LOCALAPPDATA^%\TEMP\{UID}or.js\"" /SC DAILY /ST 10:51 /RI 240 /DU 24:00 /F"

Um arquivo de tarefa agendada associado também foi identificado (Figura 5).

C:\Windows\System32\Tasks\PDFEditorUScheduledTask

Além da criação de tarefas agendadas, o malware cria um arquivo de atalho para o PDF Editor na pasta Programas do Menu Iniciar (Figura 6).

C:\Users\{User Name}\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\PDF Editor.lnk

Além disso, a persistência é fortalecida adicionando uma entrada à chave Run do Registro do Windows, que garante que o PDFEditorUpdater seja executado no logon do usuário (Figura 7).

HKEY_USERS\<User_SID>\Software\Microsoft\Windows\CurrentVersion\Run\PDFEditorUpdater

Uso de WMI para enumeração de processos

O atacante utilizou o Windows Management Instrumentation (WMI) para determinar se o Microsoft Edge ou o Google Chrome estava em execução no sistema. Ao aproveitar comandos do PowerShell que consultam objetos WMI, o atacante foi capaz de enumerar processos ativos associados a esses navegadores da web (Figura 8). Os seguintes comandos foram observados:

C:\windows\system32\cmd.exe /d /s /c "powershell.exe "Get-WmiObject Win32_Process | Where-Object { $_.Name -eq 'chrome.exe' }""

C:\windows\system32\cmd.exe /d /s /c "powershell.exe "Get-WmiObject Win32_Process | Where-Object { $_.Name -eq 'msedge.exe' }""

Enumeração de software via consultas de registro

Pouco depois de verificar os navegadores, o atacante realizou uma série de consultas de registro para enumerar o software instalado, a maioria dos quais eram produtos de segurança e AV (Figura 9). Durante esse processo, o atacante também tentou descobrir strings de desinstalação ou configurações de configuração presentes no registro que poderiam ser potencialmente usadas para ações automatizadas adicionais.

C:\windows\system32\cmd.exe /d /s /c "reg query "HKLM\Software\Microsoft\Windows\CurrentVersion\Run\Bitdefender" /v "UninstallString""

C:\windows\system32\cmd.exe /d /s /c "reg query "HKCU\Software\KasperskyLabSetup""

C:\windows\system32\cmd.exe /d /s /c "reg query "HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Uninstall\REC" /v "UninstallString""

C:\windows\system32\cmd.exe /d /s /c "reg query "HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Uninstall\G DATA ANTIVIRUS" /v "UninstallString""

C:\windows\system32\cmd.exe /d /s /c "reg query "HKCU\Software\Zillya\Zillya Antivirus""

C:\windows\system32\cmd.exe /d /s /c "reg query "HKCU\Software\Microsoft\Windows\CurrentVersion\Uninstall\EPISoftware EpiBrowser" /v "UninstallString""

C:\windows\system32\cmd.exe /d /s /c "reg query "HKCU\Software\CheckPoint\ZANG""

C:\windows\system32\cmd.exe /d /s /c "reg query "HKLM\Software\Fortinet""

Término de Processo

Após a inspeção de processos e a enumeração de produtos de segurança, o adversário encerrou à força o navegador Microsoft Edge e Chrome, provavelmente para liberar arquivos para roubo de credenciais ou para evitar a detecção do usuário (Figura 10).

taskkill /F /IM msedge.exe

taskkill /IM msedge.exe

taskkill /F /IM chrome.exe

taskkill /IM chrome.exe

Duplicação de dados de credenciais de perfis de navegador

Com base na telemetria, o atacante criou cópias dos arquivos “Web Data” e “Preferences” dos perfis de navegador do Microsoft Edge e Google Chrome (Figura 11). Eles então adicionam “Sync” aos nomes dos arquivos (resultando em “Web Data Sync” e “Preferences Sync”) e os armazenam nos mesmos caminhos de diretório, como:

• C:\Users\{Nome de usuário}\AppData\Local\Microsoft\Edge\User Data\Default\Web Data Sync
• C:\Users\{Nome de usuário}\AppData\Local\Microsoft\Edge\User Data\Default\Preferences Sync
• C:\Users\{Nome de usuário}\AppData\Local\Google\Chrome\User Data\Default\Web Data Sync
• C:\Users\{Nome de usuário}\AppData\Local\Google\Chrome\User Data\Default\Preferences Sync

Análise de arquivo JavaScript malicioso

Técnicas de ofuscação

O malware emprega várias camadas de ofuscação de código para dificultar a análise e evitar a detecção, principalmente por meio do achatamento do fluxo de controle. Ele codifica todos os nomes de funções e strings usando sequências de escape Unicode para ocultar seu verdadeiro propósito, usa nomes de variáveis sem sentido e implementa técnicas de autolimpeza que modificam temporariamente objetos do sistema antes de apagar todos os vestígios de atividade. Esses métodos transformam operações simples em quebra-cabeças complexos que são extremamente difíceis para as ferramentas de segurança analisarem estaticamente.

Loops anti-análise

O malware usa técnicas avançadas de anti-análise que dificultam significativamente a análise de código estático e aumentam a dificuldade de engenharia reversa. O seguinte resume sua abordagem:

• Implementa loops anti-análise usando hashing MurmurHash3 de 32 bits para gerar condições de fluxo de controle imprevisíveis.
• Cada loop opera convertendo seu contador em uma string, calculando um hash (usando o valor do contador, comprimento da string e constantes mágicas específicas) e, em seguida, comparando o resultado com valores-alvo pré-calculados destinados a corresponder apenas na primeira iteração.
• Essa técnica cria a aparência de loops potencialmente infinitos para ferramentas de análise estática; na realidade, cada loop é executado apenas uma vez.
• Dentro desses loops, o malware constrói dinamicamente strings críticas (como “NextUrl”, “Activity” e “iid”) e realiza outras operações disfarçadas como rotinas de verificação matemática complexas.
• Emprega camadas de verificação de hash duplas, utilizando verificações primárias e de fallback para complicar ainda mais a análise.
• Adiciona ofuscação adicional por meio de operações bit a bit e constantes negativas, tornando a lógica mais desafiadora de deduzir.
• Garante que alterar ou pular os loops interrompe os cálculos de hash e impede a execução adequada do malware, efetivamente obrigando os analistas a confiar na análise dinâmica em vez da estática.

Configuração de comunicação de rede

O malware começa a execução configurando a configuração de comando e controle (C&C) e inicializando o ambiente de execução ofuscado. Inclui uma seção DEFAULT_CONFIG que contém todos os parâmetros essenciais necessários para estabelecer e manter a comunicação com sua infraestrutura de C&C (Figura 12).

• domain - especifica o endpoint do servidor de C&C usado para enviar e receber informações
• iid - atua como um identificador de instância único, servindo tanto como um meio de rastrear infecções individuais quanto como uma chave criptográfica para criptografar dados transmitidos
• progress - aparece na carga JSON e pode funcionar como um identificador adicional
• version - enviado via URL e provavelmente usado para indicar a versão de build do malware

Loop principal de execução

O EvilAI possui uma função principal de processamento de comandos que orquestra todo o fluxo de trabalho do malware (Figura 14). Ele se comunica com o servidor de C&C para recuperar comandos criptografados, descriptografa a resposta usando uma chave de sessão e analisa a estrutura de comando JSON. A função então processa comandos por tipo, incluindo operações de arquivo (download/gravação), modificações de registro, execução de processos e manipulação de scripts. Após a execução, ele relata o status de conclusão e pode usar o parâmetro NextUrl para buscar comandos adicionais. Esse ciclo é repetido continuamente, permitindo que o malware mantenha o controle e execute operações complexas.

Comunicação principal de comando e controle

O EvilAI inicia a comunicação com seu servidor de C&C enviando dados de sessão criptografados que incluem status de atividade, identificador de progresso da configuração e carimbos de data/hora (Figura 15). O fluxo de trabalho de comunicação cobre todo o processo – criando cargas JSON, criptografando os dados, transmitindo-os via HTTPS e analisando a resposta criptografada do servidor para extrair dados de comando. Uma vez que os comandos são descriptografados, o malware os executa, relata os resultados de volta ao C&C via HTTPS POST e continua o ciclo para manter o controle contínuo.

Manipulador de comunicação HTTP/HTTPS

O EvilAI aproveita os módulos http e https do Node.js para criar e executar solicitações HTTP POST com manipulação baseada em Promise. A função determina automaticamente se deve usar HTTP ou HTTPS, constrói opções de solicitação com os cabeçalhos necessários e gerencia dados de resposta por meio de streaming (Figura 16). Ele também incorpora manipulação robusta de erros para garantir resiliência contra falhas de rede, permitindo comunicação confiável com a infraestrutura de C&C.

Função de criptografia/descriptografia de dados

O EvilAI emprega criptografia AES-256-CBC para proteger cargas JSON enviadas ao seu servidor de C&C, incluindo dados de sessão como status de atividade, identificadores de progresso, carimbos de data/hora e respostas de comando (Figura 17). A chave de criptografia é derivada do ID de instância único do malware (UUID), e os dados são ainda codificados com base64 antes da transmissão.

O malware também realiza descriptografia AES-256-CBC em dados de comando recebidos de seu servidor de C&C, usando o ID de instância único do malware para derivar a chave de descriptografia (Figura 18). A função extrai os primeiros 32 bytes como o vetor de inicialização (IV), constrói um decifrador AES com a chave e IV derivados e processa a carga criptografada restante enquanto ignora os primeiros 36 bytes.

Com a comunicação e a criptografia estabelecidas, o EvilAI prossegue para interpretar as cargas descriptografadas, que contêm os comandos de backdoor que impulsionam suas operações maliciosas principais.

Comandos de backdoor

As operações de backdoor do EvilAI são impulsionadas por uma função central de manipulação de comandos que interpreta continuamente cargas JSON descriptografadas do servidor de C&C. Em vez de depender de strings de gatilho específicas, o malware mantém comunicação persistente e autônoma, processando instantaneamente qualquer comando estruturado que recebe e garantindo que o atacante mantenha controle ininterrupto do sistema infectado.

No centro desse fluxo de trabalho está o despachante principal de execução de comandos (Figura 19), que valida que cada estrutura de comando contém o campo Value necessário antes de executar sistematicamente quatro categorias de operações em sequência:

1. Downloads de arquivos via o downloader dedicado
2. Operações de gravação de arquivos
3. Manipulações de registro
4. Execuções de processos

O mecanismo de download de arquivos do EvilAI é dividido em duas rotinas complementares. Como mostrado na Figura 20, o auxiliar HTTPS de baixo nível – função u() – lida com operações de rede individuais: ele recebe uma URL e caminho de arquivo de destino, cria uma solicitação HTTPS GET, transmite os dados de resposta diretamente para um arquivo usando fs.createWriteStream e valida códigos de status HTTP (garantindo 200 OK).

O malware usa um processador de comandos de alto nível que gerencia vários downloads de comandos do servidor de C&C (Figura 21). Ele processa arrays de objetos de comando de download, valida a estrutura de cada comando para os campos Path e Data necessários, expande variáveis de ambiente do Windows (como %TEMP%) em caminhos de arquivo, e chama o auxiliar de baixo nível para cada download para recuperar arquivos de URLs remotas e salvá-los localmente.

As capacidades de manipulação de registro do EvilAI são gerenciadas por meio de uma estrutura de função em vários níveis. O despachante de operações de registro (Figura 22) processa arrays de comandos recebidos do servidor de C&C, analisando caminhos de registro para extrair chaves raiz (como HKEY_LOCAL_MACHINE) e componentes de subchave, expandindo variáveis de ambiente em valores de dados de registro e roteando comandos com base no campo Action (3 para adicionar, 4 para excluir). Ele então chama as funções auxiliares apropriadas para executar as modificações.

A rotina de adição constrói caminhos de registro do Windows e executa reg add via spawnSync, especificando a chave raiz, subchave, nome do valor, tipo (REG_SZ) e conteúdo de dados, sobrescrevendo forçadamente valores existentes e retornando códigos de status numéricos para indicar sucesso ou falha (Figura 23).

Por outro lado, a rotina de exclusão constrói caminhos e executa reg delete via spawnSync com o flag /f force, removendo valores especificados enquanto retorna códigos de status para indicar sucesso ou falha, permitindo que o malware realize operações de limpeza ou antiforense no sistema (Figura 24).

O EvilAI usa um manipulador de execução de processos que gerencia arrays de solicitações de execução de comandos do servidor de C&C (Figura 25). Ele valida cada comando para garantir que contenha um campo Data válido (a string de comando) e um campo Action definido como 6, indicando execução de processo. A função então gera processos destacados usando Node.js child_process.exec com detached: true e stdio: 'ignore' para furtividade, executando cada comando independentemente do processo principal do malware via unref() para evitar bloqueio. Essa rotina serve como o principal mecanismo do EvilAI para executar comandos de sistema arbitrários, scripts ou cargas maliciosas adicionais, fornecendo capacidades completas de execução remota de comandos sob o controle do servidor de C&C.

O EvilAI usa um processador de operações de gravação de arquivos que gerencia arrays de comandos de gravação de arquivos recebidos do servidor de C&C (Figura 26). Cada comando é validado para garantir que contenha um campo Path e Data válido, com o campo Action definido como 3 para indicar uma operação de gravação de arquivo. O processador expande variáveis de ambiente do Windows (como %TEMP% e %APPDATA%) em caminhos de arquivo de destino usando substituição de regex com substituição process.env, decodifica dados codificados em hexadecimal do campo Data e grava o conteúdo binário resultante no caminho especificado usando uma rotina auxiliar com codificação UTF-8. Essa rotina serve como um componente crítico do sistema de implantação de carga do malware, permitindo que o servidor de C&C crie remotamente arquivos de configuração, scripts maliciosos ou outros arquivos necessários para persistência e operações adicionais no sistema Windows infectado.

Estratégias de defesa

Com o rápido avanço de ameaças como o EvilAI, é mais importante do que nunca combinar uma boa higiene cibernética com proteção de última geração. A Trend recomenda as seguintes estratégias para ajudar os leitores a se defenderem contra malware sofisticado e alimentado por IA:

• Baixe software apenas de fontes confiáveis. Mantenha-se em sites oficiais e lojas de aplicativos respeitáveis. Seja cético em relação a programas anunciados em fóruns, mídias sociais ou sites desconhecidos – mesmo que pareçam profissionais ou tenham assinaturas digitais.
• Aproveite soluções de segurança avançadas. Implante soluções que usem análise comportamental e detecção impulsionada por IA para bloquear ameaças novas e furtivas que a segurança tradicional pode perder.
• Mantenha sistemas e aplicativos atualizados. Garanta que sistemas operacionais e todos os aplicativos críticos sejam regularmente corrigidos para abordar vulnerabilidades que os atacantes possam explorar.
• Eduque e alerte os usuários. Treine todos em sua organização ou casa sobre os perigos da engenharia social e deixe claro que mesmo software polido ou assinado pode representar riscos.
• Monitore comportamentos suspeitos. Fique atento a lançamentos inesperados de processos, novas tarefas agendadas, entradas de registro incomuns ou conexões com domínios desconhecidos – todos sinais que podem indicar atividade de malware.
• Adote uma abordagem de segurança em camadas. Combine várias medidas defensivas e mantenha vigilância contínua, pois ameaças avançadas como o EvilAI evoluem constantemente para contornar proteções de camada única.
• Atualize credenciais se houver suspeita de comprometimento. No caso de uma rotina de roubo de informações ser detectada ou suspeita de ter sido executada, atualize imediatamente todas as credenciais potencialmente comprometidas (como senhas, chaves de API e tokens de autenticação) para evitar acesso não autorizado e danos adicionais.

Praticando esses fundamentos de segurança e aprimorando suas defesas com as soluções de próxima geração da Trend, você pode reduzir significativamente o risco de infecção pelo EvilAI e se manter à frente das ameaças de malware emergentes.

Conclusão

Análises recentes indicam que o EvilAI está sendo usado principalmente como um stager – seu papel é obter acesso inicial, estabelecer persistência e preparar o sistema infectado para cargas adicionais. Com base em padrões comportamentais observados durante a análise em sandbox e telemetria ao vivo, os pesquisadores suspeitam que um componente secundário de roubo de informações está sendo implantado em estágios subsequentes. No entanto, a natureza exata e as capacidades dessa carga permanecem desconhecidas, deixando lacunas críticas na visibilidade e nos esforços de resposta dos defensores.

Essa falta de clareza representa um risco significativo. Sem saber o que está sendo entregue após a infecção, as organizações não podem avaliar completamente os danos ou implementar contenção eficaz. Isso também sugere que a campanha ainda está ativa e em evolução, com os atacantes possivelmente testando ou rotacionando cargas em tempo real.

O surgimento de malware alimentado por IA como o EvilAI destaca uma mudança mais ampla no cenário de ameaças. A IA não é mais apenas uma ferramenta para os defensores – agora está sendo armada por atores de ameaça para produzir malware que é mais inteligente, furtivo e escalável do que nunca. Nesse ambiente, software familiar, certificados assinados e interfaces polidas não podem mais ser considerados como garantidos.

À medida que os atacantes continuam a inovar, os defensores também devem fazê-lo. Confiar apenas na detecção baseada em assinatura ou na conscientização do usuário não é mais suficiente. A campanha EvilAI é um lembrete claro de que defesas em camadas, adaptativas e conscientes de IA são agora essenciais para se manter à frente de ameaças que estão constantemente aprendendo e evoluindo.

Segurança proativa com o TrendAI Vision One™

TrendAI Vision One️™ é a única plataforma de cibersegurança empresarial alimentada por IA que centraliza a gestão de exposição ao risco cibernético, operações de segurança e proteção robusta em camadas. Essa abordagem holística ajuda as empresas a prever e prevenir ameaças, acelerando resultados de segurança proativa em todo o seu patrimônio digital. Com o Trend Vision One, você está habilitado a eliminar pontos cegos de segurança, focar no que mais importa e elevar a segurança a um parceiro estratégico para a inovação.

Inteligência de Ameaças do TrendAI Vision One™

Para se manter à frente das ameaças em evolução, os clientes da Trend podem acessar TrendAI Vision One™ Threat Insights, que fornece as últimas informações da Trend Research sobre ameaças emergentes e atores de ameaça.

TrendAI Vision One™ Threat Insights

• Ameaças Emergentes: A Ascensão do EVILAI — Software Falso, Ameaças Reais

Relatórios de Inteligência do TrendAI Vision One™ (Varredura de IOC)

• A Ascensão do EVILAI — Software Falso, Ameaças Reais

Consultas de Caça

Aplicativo de Pesquisa do TrendAI Vision One™

Os clientes do TrendAI Vision One™ podem usar o Aplicativo de Pesquisa para corresponder ou caçar os indicadores maliciosos mencionados nesta postagem de blog com dados em seu ambiente.

Detecção de amostras de EVILAI

malName: *.EVILAI.* AND eventName: MALWARE_DETECTION

Mais consultas de caça estão disponíveis para clientes do Trend Vision One com Threat Insights Entitlement habilitado.

Indicadores de comprometimento (IOCs)

Os indicadores de comprometimento para esta entrada podem ser encontrados aqui.