O malware BabbleLoader é uma ameaça furtiva que fornece ladrões WhiteSnake e Meduza

Pesquisadores de segurança cibernética descobriram um novo e altamente evasivo carregador de malware, o BabbleLoader, que está sendo usado para distribuir duas famílias de malware notórias para roubo de informações: WhiteSnake e Meduza. Os mecanismos de defesa avançados do BabbleLoader o tornam uma ameaça potente, capaz de contornar soluções antivírus e ambientes de sandbox para entregar payloads de malware diretamente na memória do sistema.

Quem está sendo visado?

BabbleLoader foi implantado em campanhas que têm como alvo indivíduos que falam inglês e russo. Ele atrai vítimas principalmente por meio de duas táticas específicas:

• Disfarçando-se como software crackeado para atrair usuários casuais.
• Disfarçando-se como software de contabilidade legítimo para atingir profissionais de negócios, especialmente aqueles em finanças e administração.

Essas táticas destacam a versatilidade do BabbleLoader e a sofisticação crescente dos agentes de ameaças em adaptar malware a perfis específicos de vítimas.

A crescente ameaça dos carregadores de malware

Carregadores como BabbleLoader representam o primeiro passo em muitos ataques de malware, funcionando como mecanismos de entrega para ransomware, ladrões e outras cargas maliciosas. Sua capacidade de contornar defesas tradicionais decorre da incorporação de recursos avançados de antianálise, incluindo técnicas antisandboxing e antidepuração.

Nos últimos anos, houve uma proliferação de novas famílias de carregadores — como Dolphin Loader, Emmental, FakeBat e Hijack Loader — usadas para entregar uma ampla gama de malware, incluindo CryptBot, Lumma Stealer, SectopRAT, SmokeLoader e Ursnif. A entrada do BabbleLoader neste mercado lotado é notável por seu design exclusivo e altamente evasivo.

Por que o BabbleLoader se destaca

O BabbleLoader emprega diversas técnicas sofisticadas de evasão que dificultam sua detecção e análise:

• Código Lixo e Transformações Metamórficas : Essas técnicas alteram a estrutura e o fluxo do carregador para ignorar os sistemas de detecção baseados em assinatura e comportamentais.
• Resolução de funções em tempo de execução : as funções são resolvidas somente durante o tempo de execução, contornando métodos de análise estática.
• Código que induz a falhas : código lixo em excesso pode fazer com que ferramentas de desmontagem ou descompilação, como IDA, Ghidra e Binary Ninja, travem.
• Variação constante : cada compilação do BabbleLoader tem código, strings, metadados, criptografia e fluxo de controle exclusivos, garantindo que nenhuma amostra seja idêntica.

Essa variação contínua força os modelos de detecção baseados em IA a reaprender padrões, muitas vezes levando a detecções perdidas ou falsos positivos.

Como o BabbleLoader opera

Em sua essência, o trabalho do BabbleLoader é carregar shellcode, que descriptografa e executa código malicioso adicional. Esse processo envolve um carregador Donut que descompacta e implanta a carga útil final do malware, como o ladrão WhiteSnake ou Meduza. Ao proteger essas cargas úteis, o BabbleLoader permite que os agentes de ameaças reduzam os recursos gastos na substituição da infraestrutura comprometida.

Tendências mais amplas de malware

O surgimento do BabbleLoader coincide com outros desenvolvimentos recentes no ecossistema de malware:

• LodaRAT : Uma nova campanha detalhada pela Rapid7 revelou versões atualizadas do LodaRAT projetadas para roubar cookies e senhas de navegadores como Microsoft Edge e Brave. O LodaRAT também pode coletar dados confidenciais, entregar malware adicional e conceder controle remoto sobre sistemas infectados.
• Mr.Skeleton RAT : Este malware, baseado no njRAT, oferece recursos como keylogging, execução remota de shell, manipulação de arquivos e registros e até mesmo acesso remoto à câmera de um dispositivo.

O que pode ser feito?

Dadas as técnicas de evasão sofisticadas usadas pelo BabbleLoader e outros carregadores, soluções antivírus tradicionais sozinhas podem não ser suficientes. Organizações e indivíduos devem adotar uma abordagem multicamadas para segurança que inclua:

• Ferramentas de análise comportamental : para detectar comportamento anormal associado a carregadores.
• Detecção e resposta de endpoint (EDR) : para monitorar e mitigar atividades suspeitas em tempo real.
• Treinamento de funcionários : para reconhecer táticas de phishing e evitar baixar software de fontes não verificadas.

À medida que os carregadores de malware continuam a evoluir, permanecer vigilante e proativo é essencial para frustrar essas ameaças emergentes. A descoberta do BabbleLoader ressalta a necessidade de defesas de segurança cibernética robustas e adaptação constante às táticas dos criminosos cibernéticos.