Vulnerabilidade do Windows Exploradas para Distribuir o Malware PipeMagic RansomExx

Pesquisadores de cibersegurança revelaram que agentes maliciosos exploraram uma vulnerabilidade do Microsoft Windows já corrigida, CVE-2025-29824, para distribuir o malware PipeMagic em ataques de ransomware RansomExx. A falha afeta o Windows Common Log File System (CLFS) e foi corrigida pela Microsoft em abril de 2025, mas os atacantes rapidamente a utilizaram para escalar privilégios e obter acesso aos sistemas alvo.

O PipeMagic, observado pela primeira vez em 2022, funciona como um backdoor modular capaz de executar uma ampla gama de comandos em máquinas comprometidas. O malware evoluiu ao longo do tempo, usando múltiplos vetores de infecção, como um aplicativo falso do OpenAI ChatGPT ou um arquivo Microsoft Help Index, para entregar o loader. Os ataques de 2025 tiveram como alvo principalmente organizações na Arábia Saudita e no Brasil, com o malware exibindo agora maior persistência e capacidade de movimentação lateral.

Uma característica marcante do PipeMagic é o uso de pipes nomeados criptografados para comunicação entre processos. O malware gera dinamicamente um array de 16 bytes para criar o pipe, transmitindo continuamente payloads criptografados e notificações entre módulos e o servidor de comando e controle (C2) hospedado na Microsoft Azure. Esse design permite aos atacantes controle granular sobre a execução, mantendo o malware discreto.

A arquitetura do malware inclui módulos para comunicação assíncrona, injeção de payloads e execução de executáveis C#. Também emprega técnicas como DLL hijacking para se disfarçar como software legítimo, incluindo arquivos de atualização do Chrome, dificultando a detecção e a remoção. Pesquisadores observaram que o malware armazena os payloads na memória usando uma estrutura de lista duplamente ligada, sem deixar rastros no disco.

O PipeMagic continua a ser desenvolvido ativamente pelo grupo de ameaças Storm-2460, demonstrando modularidade avançada, persistência e discrição. Sua utilização em múltiplos setores globalmente de TI e finanças a imóveis, evidencia sua eficácia como uma estrutura flexível para operações de ransomware.

Fonte: https://thehackernews.com/2025/08/microsoft-windows-vulnerability.html