Avalon combina roubo de credenciais, movimento lateral e ransomware CrownX em novo framework modular
Pesquisadores da Blackpoint Cyber identificaram um framework de malware totalmente novo, batizado de Avalon, que reúne em uma única ferramenta várias etapas típicas de um ataque avançado. Diferente de muitos códigos maliciosos que se concentram em uma única função, o Avalon foi projetado como uma plataforma modular: ele realiza desde o roubo de credenciais e coleta de informações até movimento lateral e, por fim, a execução do ransomware CrownX para criptografar dados e viabilizar extorsão.
A operação começa com uma campanha de phishing em múltiplas etapas, cuidadosamente planejada para driblar filtros de segurança. Os criminosos enviam um e-mail que imita um comunicado jurídico ou documento confidencial, conferindo uma aparência de urgência e legitimidade. Em vez de anexar diretamente o malware, a mensagem direciona o usuário para um arquivo hospedado em um serviço de armazenamento em nuvem, protegido por senha, o que reduz drasticamente a chance de detecção em gateways de e-mail.
Esse arquivo baixado pela vítima não é um documento comum, mas uma imagem ISO. Ao utilizar esse formato, os atacantes conseguem contornar diversos mecanismos de análise automática de anexos, pois o conteúdo só será montado e acessível após a interação do usuário. Quando a ISO é aberta, o sistema operacional a trata como uma unidade de disco, revelando arquivos com aparência inofensiva.
Dentro dessa imagem, há um atalho do Windows que se disfarça de PDF, chamado “Secure Document CA-283505.pdf.lnk”. A extensão .lnk costuma passar despercebida por usuários leigos, que enxergam apenas o ícone e o nome simulando um documento de texto. Ao clicar nesse atalho, em vez de abrir um arquivo PDF, a vítima dispara uma cadeia de execução em vários estágios que, ao final, instala o Avalon na máquina.
O primeiro estágio é um comando que aciona um projeto MSBuild armazenado na própria imagem ISO. O MSBuild é uma ferramenta legítima da Microsoft usada para compilar projetos .NET, o que ajuda o ataque a se misturar ao comportamento normal do sistema. Esse projeto carrega um assembly .NET incorporado, cuja função é manipular o Event Tracing for Windows (ETW), mecanismo nativo de telemetria e rastreamento de eventos.
Ao interferir no ETW, o malware reduz o volume e a qualidade dos registros sobre sua própria execução. Na prática, isso dificulta o trabalho de analistas de segurança e de soluções de detecção baseadas em comportamento, já que boa parte dos eventos críticos simplesmente deixa de ser registrada ou é mascarada. Esse é um dos pilares da furtividade do Avalon e um dos motivos pelos quais ele representa um risco elevado para ambientes corporativos.
Concluída a etapa de ofuscação e preparação, o malware baixa uma nova carga maliciosa via HTTPS, que é responsável por ativar o framework Avalon por completo. A partir desse ponto, o sistema comprometido passa a ser controlado por um conjunto de módulos especializados, voltados a evasão, coleta de dados sensíveis, manutenção de presença e preparação da fase de extorsão com o ransomware CrownX.
Um aspecto central do Avalon é seu sofisticado subsistema de evasão de defesa. De acordo com os pesquisadores, o framework incorpora rotinas específicas para detectar e contornar produtos de segurança amplamente utilizados, incluindo Microsoft Defender, SentinelOne, CrowdStrike, Sophos, Elastic Endpoint, FortiEDR, ESET, McAfee e Bitdefender. Cada módulo pode adaptar seu comportamento conforme a solução identificada no host, desativando funcionalidades arriscadas ou ajustando o modo de operação.
Essas capacidades permitem ao ataque reduzir a telemetria, evitar monitoramento em modo usuário e burlar agentes de endpoint que tentam inspeccionar processos e memória. Ao se ajustar dinamicamente às defesas presentes, o Avalon se torna mais resiliente em ambientes heterogêneos, comuns em empresas de médio e grande porte, onde coexistem diferentes camadas de proteção e políticas de segurança.
Além da furtividade, o framework possui componentes focados em roubo de informações. O Avalon é capaz de extrair credenciais, cookies, histórico de navegação e favoritos de navegadores baseados em Chromium, como Chrome e Edge, além do Mozilla Firefox. Esses dados podem conceder acesso a aplicações corporativas baseadas na web, painéis administrativos, contas pessoais, portais de fornecedores e serviços internos protegidos por sessões autenticadas.
O interesse dos operadores não se limita aos navegadores. O malware também procura por dados em carteiras de criptomoedas e aplicações associadas, entre elas MetaMask, Phantom, Coinbase Wallet, Exodus, Electrum, Atomic Wallet, Ledger Live e Bitcoin Core. Com isso, aumenta-se o potencial de ganho financeiro direto, seja por roubo de ativos digitais, seja pela venda de credenciais de alto valor no mercado clandestino.
Ferramentas de comunicação e colaboração também entram na mira. O Avalon busca informações e tokens de acesso de serviços como Discord, Slack, Microsoft Teams, além de dados relacionados a VPNs, como OpenVPN e WireGuard. O Windows Credential Manager é outro alvo, já que pode armazenar logins de serviços internos, compartilhamentos de rede e sistemas críticos. O comprometimento desses elementos amplia a superfície de ataque e acelera o movimento lateral dentro da organização.
Em paralelo, o framework coleta informações que facilitam a expansão da invasão. Ele vasculha a máquina em busca de hosts conhecidos em SSH, conexões RDP salvas, perfis de Wi-Fi e artefatos “cpassword” em Group Policy Preferences, que muitas vezes contêm credenciais de forma inadequadamente protegida. Esse conjunto de dados é extremamente valioso para mapear a infraestrutura, descobrir novos alvos e escalar privilégios.
Todo o material coletado é exfiltrado para um servidor remoto controlado pelos atacantes, associado ao domínio “helloxcherry[.]com”. Esse mesmo servidor funciona como canal de comando e controle (C2), por meio do qual os operadores enviam instruções adicionais, atualizam módulos e personalizam o ataque conforme vão compreendendo melhor o ambiente da vítima. Essa comunicação contínua transforma o Avalon em uma plataforma de acesso persistente, e não apenas em um simples dropper de ransomware.
Outro diferencial é a capacidade de reconhecimento interno. Depois de obter informações suficientes, o Avalon identifica sistemas prioritários, como servidores de arquivos, controladores de domínio, ambientes de virtualização, servidores de banco de dados e estações utilizadas por administradores. A partir da máquina inicialmente comprometida, os atacantes usam esse conhecimento para construir rotas de acesso a recursos mais sensíveis, preparando o terreno para um impacto máximo quando o CrownX for acionado.
Na etapa final do ataque, entra em cena o CrownX, componente de ransomware integrado ao framework. Ele é responsável por criptografar arquivos relacionados a operações de negócio, desenvolvimento de software, projetos de engenharia, bancos de dados, repositórios de código, máquinas virtuais e outros ativos essenciais. Para isso, o CrownX faz uso da Windows Cryptography API, um recurso legítimo do sistema operacional, o que dificulta ainda mais a detecção baseada em chamada de funções suspeitas.
Ao empregar a API nativa de criptografia, o ransomware se beneficia de rotinas robustas, amplamente confiáveis, sem precisar carregar bibliotecas adicionais que possam chamar a atenção. Em muitos casos, a atividade de criptografia se mistura ao ruído normal do sistema, atrasando a identificação do incidente. Uma vez concluído o processo, os arquivos são tornados inacessíveis, e a organização é confrontada com uma nota de resgate exigindo pagamento para suposta restauração dos dados.
Como é comum nas campanhas modernas, o CrownX não se limita apenas à criptografia. Antes de acionar essa etapa, o Avalon já terá exfiltrado para os criminosos um grande volume de informações sensíveis. Isso abre espaço para o modelo de dupla extorsão: além de cobrar pela chave de descriptografia, os atacantes ameaçam vazar publicamente ou vender dados confidenciais caso o pagamento não seja realizado, aumentando a pressão sobre a vítima e o risco reputacional.
Outra característica observada em campanhas semelhantes é a tentativa de inviabilizar mecanismos de recuperação. Embora os detalhes específicos do CrownX ainda estejam sendo estudados, já é prática recorrente que ransomware avançado tente excluir cópias de sombra (Shadow Copies), interferir em soluções de backup locais e, quando possível, acessar ou apagar backups em rede mal configurados. Assim, mesmo organizações que acreditam estar preparadas podem descobrir que seus planos de recuperação foram comprometidos.
Do ponto de vista de defesa, o surgimento do Avalon reforça a necessidade de uma abordagem em camadas. Confiar apenas em antivírus tradicional já não é suficiente diante de frameworks modulares, capazes de combinar engenharia social sofisticada, abuso de ferramentas legítimas como MSBuild e APIs nativas como ETW e Windows Cryptography. É fundamental investir em soluções de detecção e resposta em endpoint (EDR/XDR), segmentar redes, aplicar o princípio de menor privilégio e manter monitoramento contínuo de anomalias.
A conscientização de usuários segue sendo um pilar essencial. O vetor inicial ainda é, em grande parte, o e-mail de phishing cuidadosamente elaborado. Treinamentos recorrentes ajudam funcionários a reconhecer sinais de fraude, como anexos incomuns, pedidos urgentes de abertura de documentos jurídicos inesperados ou solicitações de download de arquivos protegidos por senha sem contexto claro. Embora nenhuma medida isolada seja perfeita, a combinação de tecnologia e educação reduz significativamente as chances de sucesso da campanha.
Organizações também precisam revisar políticas de armazenamento de credenciais. O uso inseguro de Group Policy Preferences, senhas salvas em RDP, SSH e VPN sem controles adicionais e o armazenamento de chaves em navegadores facilitam imensamente o trabalho de ferramentas como o Avalon. Adoção de autenticação multifator, cofres de senha especializados e revisão regular de configurações de domínio podem mitigar boa parte da superfície explorada por esse tipo de malware.
Outro ponto crítico é a gestão de backups. Cópias de segurança atualizadas, isoladas da rede principal (offsite ou imutáveis), testadas periodicamente em simulações de desastre, são a principal defesa contra o impacto da criptografia de dados. Mesmo sob ameaça de vazamento, uma organização com backups consistentes e planos de resposta bem estabelecidos tem mais poder de negociação e menor probabilidade de ceder ao pagamento de resgate.
A detecção precoce de atividades de reconhecimento e movimento lateral também é chave para reduzir danos. Monitorar tentativas de conexão suspeitas via RDP, uso anômalo de ferramentas administrativas, acesso incomum a compartilhamentos de rede, bem como alterações em políticas de grupo, ajuda a identificar o ataque antes que o CrownX seja acionado. Logs centralizados, correlação de eventos e equipes capacitadas para investigar alertas são componentes indispensáveis dessa estratégia.
Por fim, o caso Avalon demonstra uma tendência clara no cenário de ciberameaças: a convergência entre ferramentas de acesso inicial, plataformas de comando e controle e ransomware em um único ecossistema modular. Em vez de campanhas fragmentadas, os operadores passam a contar com frameworks completos, capazes de se adaptar a diferentes alvos, reconfigurar módulos e prolongar a permanência em rede. Para as empresas, isso significa que a preparação não pode ser pontual; é preciso encarar a segurança como um processo contínuo, que envolve tecnologia, processos e pessoas trabalhando de forma integrada.