Especialistas em segurança digital detectaram uma evolução tática nas operações do grupo criminoso LeakNet. A nova estratégia consiste em utilizar o Deno — um ambiente de execução legítimo para JavaScript e TypeScript — como fachada para rodar códigos maliciosos diretamente na memória dos sistemas invasores, dificultando a detecção por antivírus tradicionais.
O Perfil do LeakNet
Especializado em ataques de ransomware (sequestro de dados mediante resgate), o LeakNet atua desde o fim de 2024. Com uma média de três vítimas por mês, o grupo busca agora escalar suas operações através de técnicas que deixam rastros mínimos nos discos rígidos das empresas.
A Engenharia Social: O Método “ClickFix”
Diferente de ataques que exploram brechas de software, o LeakNet foca na manipulação humana. Através do método ClickFix, a vítima visualiza uma tela falsa de erro ou atualização e é induzida a copiar e colar um comando no terminal do Windows. Ao fazer isso, o próprio usuário inicia a infecção.
A Estratégia “BYOR” (Bring Your Own Runtime)
Após o comando inicial, dois scripts nativos do Windows (PowerShell e VBScript), apelidados pelos hackers de Romeo e Juliet, instalam o Deno na máquina.
- Por que o Deno? Como é uma ferramenta legítima e assinada digitalmente, os sistemas de segurança costumam confiar em sua execução.
- Conceito BYOR: A empresa ReliaQuest define isso como “traga seu próprio ambiente de execução”, onde o atacante usa um software confiável para rodar o código nocivo sem precisar criar um malware do zero.
Invasão Silenciosa e Movimentação na Rede
Uma vez ativo, o ataque segue as seguintes etapas:
- Execução In-Memory: O código roda apenas na memória RAM, sem salvar arquivos no disco, o que “evapora” para a maioria das ferramentas forenses.
- Fingerprinting e C2: O malware identifica a máquina e se conecta a um servidor de Comando e Controle (C2) para receber ordens e baixar o estágio final do ataque.
- Lateralidade: Para dominar a rede, o grupo usa o DLL sideloading (disfarçando um código malicioso como um arquivo do Java) e ferramentas como o PsExec da Microsoft para saltar entre computadores.
- Exfiltração via Nuvem: Antes de criptografar os dados para o resgate, o grupo rouba as informações enviando-as para buckets do Amazon S3 (AWS), um tráfego que parece comum em redes corporativas.
Sinais de Alerta para Equipes de TI
Embora sofisticada, a cadeia de ataque apresenta padrões que podem ser monitorados:
- Execução do Deno em computadores que não pertencem a desenvolvedores.
- Processos do msiexec iniciados diretamente por navegadores web.
- Uso atípico da ferramenta PsExec na rede.
- Transferências de dados volumosas ou inesperadas para endereços do Amazon S3.
- Carregamento de DLLs (como a
jli.dll) em diretórios incomuns como oUSOShared.
