Avalon combina roubo de credenciais, movimento lateral e ransomware CrownX em novo framework modular

Pesquisadores da Blackpoint Cyber identificaram um novo framework modular de malware, ainda não documentado anteriormente, chamado Avalon. A ferramenta é distribuída por uma cadeia de phishing em múltiplas etapas e reúne capacidades normalmente vistas em diferentes fases de um ataque, incluindo coleta de credenciais, acesso remoto, movimento lateral, interrupção de mecanismos de recuperação e execução de ransomware.

O componente de ransomware do Avalon foi batizado internamente de CrownX. Segundo os pesquisadores Nevan Beal e Sam Decker, a campanha começa com um e-mail falso simulando um documento jurídico. A mensagem direciona a vítima para um arquivo protegido por senha hospedado no Proton Drive, estratégia que ajuda a reduzir a detecção por filtros tradicionais de e-mail.

Em vez de anexar diretamente o conteúdo malicioso à mensagem, os invasores o escondem dentro de uma imagem ISO. Essa abordagem dificulta a inspeção no nível do e-mail e permite que o ataque avance apenas quando a vítima abre o arquivo e interage com o conteúdo montado no sistema.

Dentro da imagem ISO, há um atalho do Windows com aparência de documento, chamado “Secure Document CA-283505.pdf.lnk”. Caso a vítima execute esse arquivo, o atalho aciona uma sequência em estágios que culmina na implantação do Avalon. O primeiro passo é a execução de um comando que inicia um projeto MSBuild localizado dentro da própria imagem ISO.

O projeto MSBuild carrega um assembly .NET incorporado, que interfere no funcionamento normal do Event Tracing for Windows, ou ETW. O ETW é um recurso do Windows usado para telemetria, rastreamento e análise de eventos do sistema. Ao prejudicar esse mecanismo, o malware reduz a visibilidade forense da execução e dificulta a detecção por ferramentas de segurança.

Depois disso, o componente baixa uma nova carga maliciosa via HTTPS, responsável por iniciar o Avalon no sistema comprometido. A partir desse ponto, o framework passa a operar com um amplo conjunto de módulos voltados à evasão, coleta de dados, persistência operacional e preparação para extorsão.

Um dos pontos centrais do Avalon é seu subsistema de evasão de defesa. De acordo com a Blackpoint Cyber, o framework inclui técnicas específicas para ocultar sua execução de ferramentas associadas a Microsoft Defender, SentinelOne, CrowdStrike, Sophos, Elastic Endpoint, FortiEDR, ESET, McAfee e Bitdefender.

Essas capacidades permitem ao malware reduzir telemetria, contornar monitoramento em modo usuário e ajustar seu comportamento conforme os controles defensivos presentes no host. Na prática, isso dá aos operadores mais flexibilidade para executar o ataque em ambientes corporativos com diferentes camadas de proteção.

O Avalon também possui funções de roubo de informações. Ele coleta credenciais, cookies, histórico e favoritos de navegadores baseados em Chromium e do Mozilla Firefox. Esse tipo de dado pode permitir acesso indevido a aplicações corporativas, contas pessoais, painéis administrativos e sistemas protegidos por sessões autenticadas.

Além dos navegadores, o malware busca dados em carteiras de criptomoedas e aplicações relacionadas, incluindo MetaMask, Phantom, Coinbase Wallet, Exodus, Electrum, Atomic Wallet, Ledger Live e Bitcoin Core. A lista de alvos também inclui Discord, Slack, Microsoft Teams, OpenVPN, WireGuard e Windows Credential Manager, ampliando o impacto potencial sobre ambientes de colaboração, acesso remoto e autenticação.

O framework ainda coleta informações sobre hosts conhecidos em SSH, conexões RDP salvas, perfis de Wi-Fi e artefatos “cpassword” de Group Policy Preferences. Esse conjunto de dados pode apoiar movimento lateral, descoberta de ativos e comprometimento de novas máquinas dentro da rede.

Após a coleta, os dados são exfiltrados para um servidor remoto associado ao domínio “helloxcherry[.]com”. O Avalon também consulta esse servidor para receber comandos de tarefa, funcionando como um canal de comando e controle. Esse canal permite que os operadores ajustem a operação após o comprometimento inicial, executando ações adicionais de acordo com o ambiente da vítima.

Outro recurso importante é a capacidade de reconhecimento. O Avalon pode identificar e priorizar sistemas que ajudem a expandir o alcance da invasão. Isso é relevante em ataques corporativos porque um único endpoint comprometido pode servir como ponto de partida para acessar servidores, credenciais administrativas, compartilhamentos de rede e sistemas críticos.

A etapa final de extorsão fica a cargo do CrownX. O componente criptografa arquivos associados a operações de negócio, desenvolvimento de software, engenharia, armazenamento de dados e infraestrutura virtual. Para isso, utiliza a Windows Cryptography API, recurso legítimo do sistema operacional para operações criptográficas.

Depois da criptografia, o ransomware entrega uma nota de resgate com instruções de pagamento e temporizadores de prazo, indicando quanto tempo resta antes que o valor exigido seja aumentado. Esse tipo de pressão é comum em campanhas de ransomware, pois busca reduzir o tempo de reação da vítima e forçar uma decisão rápida.

A Blackpoint Cyber observa que o dano causado pelo Avalon vai além da criptografia. Antes da exibição da nota de resgate, o framework já pode ter coletado credenciais, estabelecido comunicação com servidores de comando e controle, preparado caminhos para movimento lateral e enfraquecido opções locais de recuperação.

Para dificultar a restauração dos sistemas, o Avalon encerra o serviço de cópias de sombra de volume do Windows e apaga shadow copies. Essas cópias normalmente podem ser usadas para recuperar arquivos e estados anteriores do sistema. Ao removê-las, os invasores aumentam a dependência de backups externos e reduzem a capacidade de recuperação rápida.

O malware também inclui um subsistema de limpeza anti-forense. Esse recurso remove rastros de artefatos criados durante a execução, complicando o trabalho de resposta a incidentes, análise de causa raiz e reconstrução da cadeia de ataque.

Outro comportamento descrito pelos pesquisadores envolve interação direta com estruturas de disco. A avaliação é que o framework pode tentar danificar informações de partição, registros de inicialização ou outras áreas críticas do drive, o que pode tornar o sistema inutilizável. Esse tipo de recurso aproxima a ameaça de operações destrutivas, não apenas de extorsão baseada em criptografia.

Segundo a Blackpoint Cyber, o Avalon apresenta indícios de desenvolvimento assistido por inteligência artificial. O framework reúne vários componentes e capacidades complexas, mas com sinais de menor refinamento em tradecraft e segurança operacional. Isso sugere que ferramentas de IA podem ter sido usadas para acelerar a criação do malware, mesmo sem o mesmo nível de maturidade técnica esperado em grupos altamente experientes.

A descoberta reforça uma mudança importante no cenário de ameaças. A presença de recursos avançados em um malware já não é, por si só, um indicador confiável de sofisticação operacional do agente. Ferramentas baseadas em IA podem permitir que invasores com menos conhecimento técnico combinem módulos de roubo de dados, evasão, acesso remoto e ransomware em um tempo menor e com menos esforço.

A cadeia de ataque descrita pela Blackpoint Cyber mostra como uma isca corporativa comum, como um suposto documento jurídico, pode evoluir para um framework reutilizável e multifuncional. A partir de um único endpoint comprometido, os invasores conseguem colher credenciais, buscar novas cargas diretamente em memória e preparar várias ações subsequentes.

O relatório foi divulgado em um momento em que outras pesquisas também apontam para o avanço do uso de IA em operações ofensivas. A Sysdig detalhou o que descreveu como a primeira infecção pública de ransomware agentic, conduzida de ponta a ponta por um grande modelo de linguagem, com capacidade de tentar novamente e ajustar ações em tempo real para completar tarefas.

O agente de ameaça por trás dessa operação foi identificado como JADEPUFFER. Segundo a Sysdig, o operador obteve acesso inicial a uma instância Langflow exposta à internet por meio da CVE-2025-3248. Em seguida, executou uma campanha adaptativa e totalmente automatizada, avançando até o alvo pretendido e realizando uma operação destrutiva de extorsão contra o servidor de banco de dados de produção da vítima.

Para a Sysdig, o custo e a complexidade de executar ransomware caíram significativamente quando agentes automatizados entram no processo. Se esses agentes operam usando credenciais roubadas e recursos obtidos por LLMjacking, o custo para o invasor pode se aproximar de zero.

Outra descoberta recente, atribuída à Palo Alto Networks Unit 42, mostrou um malware baseado em IA que combina um bot do Telegram com uma API pública de modelo de linguagem para conduzir ataques sem exigir que o operador conheça sintaxe de linha de comando. Após ser executado, o implante envia informações básicas do sistema comprometido ao bot do invasor e entra em um loop de comando e controle que consulta a API do Telegram a cada cinco segundos.

Nesse caso, cada mensagem enviada pelo operador em linguagem natural é encaminhada para um endpoint público de LLM, “api.groq[.]com/openai/v1/chat/completions”. O modelo transforma a instrução em um comando shell equivalente, que é executado pela máquina da vítima. Os resultados são então exfiltrados pelo mesmo canal.

Segundo a Unit 42, o diferencial desse malware é a camada de tradução por LLM, que substitui a necessidade de comandos técnicos por instruções em texto simples. O invasor digita o que deseja fazer no Telegram, o modelo converte a ordem em comando shell e o dispositivo comprometido executa a ação.

O artefato analisado foi enviado ao VirusTotal em 11 de março de 2026 e, até a divulgação, permanecia sem detecção por todos os mecanismos. O caso reforça a dificuldade de identificar ameaças que combinam infraestrutura legítima, automação e modelos de linguagem para reduzir a necessidade de código malicioso tradicional.

No conjunto, Avalon, JADEPUFFER e o malware com LLM via Telegram indicam uma convergência entre ransomware, automação ofensiva e uso prático de IA em campanhas maliciosas. Para equipes de segurança, isso aumenta a importância de monitorar não apenas arquivos e assinaturas conhecidas, mas também comportamento, abuso de ferramentas legítimas, execução em memória, comunicação com APIs e anomalias em fluxos de autenticação e administração.