Trojan SilentRoute: uma ferramenta VPN falsa que sequestra credenciais discretamente

Um nome confiável que se tornou um cavalo de Tróia

Outra ameaça à segurança cibernética está causando impacto no cenário da segurança, e não é a suspeita habitual. Chamado de SilentRoute , esse Trojan foi descoberto incorporado em uma versão falsa do cliente VPN NetExtender, amplamente utilizado pela SonicWall. O ataque tem como alvo usuários que buscam baixar softwares legítimos, induzindo-os a instalar uma versão comprometida.

Em sua essência, o NetExtender foi criado para conectar usuários remotos com segurança a redes corporativas, permitindo que acessem arquivos, aplicativos internos e outros recursos como se estivessem sentados em uma mesa no escritório. No entanto, quando usada como arma, como no caso do SilentRoute, essa conectividade se torna uma porta de entrada para invasores roubarem dados confidenciais diretamente do dispositivo do usuário. É claro que a SonicWall não está associada à proliferação desse malware.

Método de infiltração da SilentRoute

O software infectado, que se passava pela versão 10.3.2.27 do NetExtender, foi descoberto sendo distribuído por meio de um site fraudulento que já foi tirado do ar. O que torna a farsa convincente é que o instalador veio assinado digitalmente — aparentemente por uma empresa legítima chamada CITYLIGHT MEDIA PRIVATE LIMITED. Essa assinatura digital provavelmente ajudou a driblar o ceticismo dos usuários e os controles de segurança.

A Microsoft, que firmou parceria com a SonicWall para investigar a campanha, identificou o trojan e rastreou sua distribuição. Os invasores parecem ter empregado métodos conhecidos, porém eficazes, para atrair vítimas — usando táticas como envenenamento por otimização de mecanismos de busca (SEO), spear-phishing e até mesmo malvertising para disseminar o software falsificado. Usuários que pesquisaram o NetExtender online podem ter, sem saber, acessado o site malicioso, baixado o cliente falso e exposto suas credenciais no processo.

Como o SilentRoute funciona nos bastidores

Uma vez instalada, a versão maliciosa do NetExtender se comporta de forma enganosa, como o aplicativo real. Mas, internamente, dois de seus principais componentes — NeService.exe e NetExtender.exe — foram modificados para enviar dados de configuração a um servidor controlado pelo invasor. Esses dados incluem credenciais de login, como nomes de usuário, senhas, nomes de domínio e outras informações de configuração críticas para o acesso à VPN.

O malware faz isso sequestrando o processo de conexão. Quando os usuários inserem suas credenciais de VPN e clicam em "Conectar", o código malicioso intercepta as informações e as transmite para um servidor remoto pela porta 8080, usando o endereço IP 132.196.198.163. Notavelmente, o malware também ignora as verificações típicas de certificados, garantindo que os arquivos adulterados não levantem suspeitas imediatamente.

O que isso significa para usuários e organizações

As implicações desta campanha vão além do roubo de credenciais individuais. Como as VPNs costumam ser a primeira linha de acesso a uma rede corporativa segura, credenciais comprometidas podem conceder privilégios significativos aos invasores, permitindo movimentação lateral, exfiltração de dados e vigilância de longo prazo. Para organizações que dependem de infraestrutura de trabalho remoto, o SilentRoute representa um sério risco aos sistemas internos e aos dados confidenciais.

Além disso, o uso enganoso de assinaturas digitais complica ainda mais o processo de detecção. Ao assinar o malware com o que parece ser um certificado válido, os invasores estão driblando muitas ferramentas convencionais de antivírus e proteção de endpoints, especialmente aquelas que dependem da detecção baseada em assinaturas.

O panorama mais amplo de ameaças: EvilConwi e campanhas relacionadas

O SilentRoute não é um incidente isolado. Na mesma época, a empresa alemã de segurança cibernética G DATA relatou um cluster de ameaças relacionado, denominado EvilConwi , onde invasores manipularam ferramentas confiáveis — neste caso, instaladores do ConnectWise — para implantar malware. Essas campanhas utilizam o "authenticode stuffing", uma técnica que permite a injeção de código malicioso sem quebrar a assinatura digital de um arquivo.

As infecções no caso da EvilConwi geralmente começam com e-mails de phishing com links para uma página do Canva, que então baixa um instalador adulterado do ConnectWise. A partir daí, os invasores implantam telas falsas de atualização do Windows para impedir que as vítimas desliguem seus sistemas enquanto o acesso remoto é estabelecido silenciosamente em segundo plano.

Essa tendência mais ampla destaca uma tática crescente entre os agentes de ameaças: aproveitar a legitimidade de softwares conhecidos para ocultar suas operações, tornando suas atividades mais difíceis de detectar e mais fáceis de confiar.

Mantendo-se à frente da ameaça

A campanha SilentRoute destaca a importância da vigilância ao baixar softwares, especialmente ferramentas relacionadas à segurança e acesso remoto. Usuários e administradores devem sempre verificar a origem dos downloads, de preferência obtendo-os diretamente dos sites oficiais dos fornecedores, em vez de depender dos resultados de mecanismos de busca.

Para as organizações, isso também é um alerta para reforçar o monitoramento de endpoints, implementar a fixação de certificados sempre que possível e considerar mecanismos de detecção baseados em comportamento que possam sinalizar atividades incomuns na rede ou modificações em arquivos.

À medida que os invasores se tornam mais hábeis em mascarar suas intenções por meio de canais confiáveis, as defesas de segurança cibernética precisam evoluir em paralelo. O Trojan SilentRoute serve como um lembrete oportuno de que a confiança — especialmente em software — deve ser constantemente verificada, não presumida.