Malware escondido em torrent de filme usa blockchain Solana para achar o servidor de comando — e rouba dados de governo e empresas

Introdução

Uma campanha de malware batizada de MovieReaper está usando torrents envenenados de filmes populares para infectar sistemas Windows com um framework modular que rouba arquivos de governo, TI, varejo e agricultura. O diferencial técnico: o shellcode do malware consulta a blockchain Solana (blockchain pública de alto desempenho usada para contratos inteligentes e aplicações descentralizadas) para descobrir o endereço do servidor de comando e controle (C2) — um mecanismo que torna a infraestrutura de ataque mais resistente a derrubadas.

A análise foi conduzida pela equipe de pesquisa da Kaspersky (empresa global de cibersegurança com sede na Rússia, conhecida por suas pesquisas de threat intelligence e antivírus) e publicada no Securelist no dia 17 de setembro, com repercussão no Cyber Security News em 18 de setembro de 2026. A campanha está ativa desde outubro de 2025 e já evoluiu o loader para dificultar a detecção — embora o padrão de distribuição continue o mesmo desde o início.

Nota de honestidade: a análise é da Kaspersky, baseada em telemetria própria. Centenas de vítimas foram confirmadas fora do Brasil (Europa, Ásia e África). Não há, até o momento, vítimas brasileiras na lista publicada. A atividade explora um repositório de torrents comprometido — não uma vulnerabilidade de dia zero.

O vetor: um repositório de torrents comprometido

O ponto de partida da infecção não são os trackers de torrent em si, mas um repositório público de arquivos torrent: itorrents[.]org. Os atacantes comprometeram esse repositório único, que é usado por múltiplos trackers como fonte de arquivos .torrent. Quando um usuário clica em um link magnético para baixar um filme popular, o repositório comprometido devolve um arquivo torrent malicioso no lugar do legítimo.

A estratégia é poderosa: um único ponto comprometido atinge usuários de dezenas de trackers diferentes, sem que cada plataforma precise ser invadida individualmente. Centenas de vítimas foram identificadas em países como Rússia, Turquia, Japão, Quênia, Uganda, Colômbia, Espanha, Países Baixos, Bélgica e Alemanha, nos setores de governo, TI, consultoria, varejo, transporte e agricultura.

O loader inicial chega com nomes que imitam lançamentos de filmes, como the odyssey (2026) [1080p] [webrip] [5.1].exe — um nome longo propositalmente desenhado para esconder a extensão .exe no final. O ícone do executável imita um aplicativo conhecido, e o hash MD5 do loader (A0B13781EDD7CFDAB13D79AFFF3C83C1) é idêntico em todas as amostras.

A cadeia de ataque em 4 estágios

O MovieReaper é um framework modular e multi-estágio, com a maior parte da execução ocorrendo em memória. Abaixo, a linha do tempo da infecção:

Estágio 1: o loader que não confia em chamadas de sistema

O loader executado pela vítima começa estabelecendo um mutex global (Global\fnulSktzSqvVLXHU ou Global\E4AyDKzvEhe2hgAr) para garantir que apenas uma instância rode. Em seguida, executa uma série de verificações anti-sandbox: evita chamadas comuns de API como LoadLibrary e GetProcAddress, percorrendo manualmente a lista ligada dupla do campo Ldr no PEB (Process Environment Block, estrutura do Windows que armazena informações do processo em execução) para localizar as funções de que precisa.

O loader também registra um vectored exception handler (mecanismo de tratamento de exceções do Windows que permite interceptar erros como debug breaks) e reescreve o endereço do handler em memória para transformar um debug break em um desvio de fluxo para uma função que faz a chamada de sistema NtProtectVirtualMemory diretamente (usando a instrução 0x0F 0x05 — syscall — encontrada dentro da ntdll). Por fim, chama a função não documentada EtwpCreateEtwThread da ntdll como alternativa à CreateThread para executar o shellcode baixado.

O shellcode é baixado em fragmentos disfarçados de paths de imagem de serviços de cloud (/cloud/v192.4/ui/sync-status-icons.png, /cloud/v192.4/onboarding/welcome-bg.jpg, /cloud/v192.4/ui/file-preview-placeholder.png) do domínio deadhub[.]org, com fallback para o IP 193.23.118[.]155 via HTTP puro.

Estágio 2: blockchain Solana como repositório de C2

Este é o diferencial técnico da campanha. O shellcode faz uma requisição HTTPS ao endpoint getAccountInfo da Solana para a conta 6pnDGAiHgyPdmckM5Qt1YbanGzrX43WLEU159nRaNLDm. O campo data da resposta contém o endereço do segundo servidor C2, codificado em base64 e cifrado com uma chave XOR estática embutida no shellcode.

Para armazenar os dados nessa conta, os atacantes usaram um programa Solana simples (endereço: CSiY8bQLBYPdfPWkwipBzH6sijTVQVVsA279JQdvwHtL). O mecanismo permite que o atacante atualize o endereço do C2 a qualquer momento, sem depender de um domínio ou IP fixo — o que torna a derrubada da infraestrutura significativamente mais difícil. É a mesma abordagem observada em campanhas como a do KREMLIN, que também usou blockchain para C2 na mesma semana — embora o KREMLIN tenha usado Ethereum, não Solana.

O payload de segundo estágio se comunica com o C2 real estritamente via HTTPS, com certificado TLS pinado (técnica que fixa a impressão digital do certificado do servidor, impedindo ataques man-in-the-middle), e usa a biblioteca nanopb (implementação leve de Protocol Buffers do Google para sistemas embarcados) como container para os dados transferidos. O comando mais importante desse estágio é o que faz o parse de um arquivo COFF (Common Object File Format, formato de objeto usado pelo compilador Microsoft) e o carrega em memória, executando a função module_init — uma interface que permite carregar módulos arbitrários sob demanda.

Estágio 3: persistência disfarçada de telemetria da Microsoft

O módulo baixado do segundo C2 executa o UAC bypass (técnica que contorna o Controle de Conta de Usuário do Windows para obter privilégios de administrador sem notificar o usuário) usando técnicas públicas e copia o binário original para C:\ProgramData\Microsoft\Windows\Telemetry\msedge.exe. O nome foi escolhido para se confundir com a telemetria legítima do Windows e do Edge. Em seguida, reinicia o sistema.

Quando o processo é reiniciado, o loader roda com um argumento de linha de comando especial que faz todas as verificações anti-sandbox serem puladas — o malware já sabe que está em uma máquina real e não em uma sandbox de análise. Além disso, um flag enviado ao servidor C2 indica se o implant está rodando da pasta Telemetry, permitindo que o servidor distinga entre primeira execução e reinicialização e entregue o módulo correto.

Estágio 4: o file manager que cria preview antes de roubar

O módulo final expõe 21 comandos que dão ao operador acesso completo ao sistema de arquivos da vítima: ler, fazer upload e download de arquivos, listar e enumerar diretórios, criar, copiar, renomear, mover, deletar, alterar permissões (chmod) e criar links simbólicos. O diferencial é a capacidade de criar previews e thumbnails de imagens e documentos antes de extraí-los — o operador vê o que está disponível e decide o que vale a pena exfiltrar, reduzindo o volume de dados transferidos e o risco de detecção.

A Kaspersky suspeita que outros módulos (keylogger, captura de tela, roubo de credenciais) possam ser carregados sob demanda conforme a necessidade do operador, já que a arquitetura COFF permite estender a lista de comandos sem modificar o núcleo do malware.

Indicadores de compromisso (IoCs)

Como se proteger

Evite downloads de torrents piratas. O vetor primário da campanha é o repositório comprometido itorrents[.]org. Usuários que baixam filmes via torrent estão na linha de frente do ataque. A recomendação mais eficaz é usar fontes oficiais de streaming ou compra de conteúdo.

Monitore execuções suspeitas de "lançamentos de filme". O loader tem nome longo que termina em .exe e hash conhecido (A0B13781EDD7CFDAB13D79AFFF3C83C1). Ferramentas de EDR e soluções como o Wazuh podem ser configuradas para alertar sobre execuções de binários com nomes incomumente longos ou que contentham padrões de "filme" na linha de comando.

Bloqueie os IoCs conhecidos. Os domínios deadhub[.]org, IPs 193.23.118[.]155, 208.64.33[.]90 e 208.94.246[.]53 devem ser bloqueados em firewalls e proxies corporativos. O domínio itorrents[.]org também deve estar em listas de bloqueio de conteúdo impróprio.

Revise conexões de saída para endpoints da Solana. Embora a blockchain seja legítima, consultas a api.mainnet.solana.com feitas por processos que não são navegadores ou carteiras digitais são um forte indicador de atividade maliciosa — mesma tática observada com Ethereum na campanha KREMLIN.

*Investigue processos rodando de %ProgramData%\Microsoft\Windows\Telemetry*. O caminho de telemetria é um local comum de camuflagem para malware. Compare o hash do msedge.exe encontrado com o hash legítimo do Microsoft Edge — qualquer divergência indica infecção.

Conclusão

O MovieReaper representa mais um passo na evolução do malware modular: um framework que combina engenharia social clássica (torrent de filme) com técnicas modernas de anti-análise (vectored exception handler, varredura manual da PEB, chamada de syscall direta) e uso de blockchain pública como camada de resiliência para o C2. O uso da Solana para armazenar o endereço do servidor de comando e controle é um diferencial que torna a infraestrutura significativamente mais difícil de derrubar — o atacante pode atualizar o endereço a qualquer momento sem trocar de domínio.

O primeiro estágio da cadeia (loader que baixa shellcode de deadhub[.]org) continua sendo o melhor ponto de interrupção da campanha, já que depende de um único domínio e um único IP. A partir do segundo estágio, o uso da blockchain dificulta bloqueios convencionais.

A Kaspersky classifica a detecção como HEUR:Trojan.Win64.Agent.gen e continua monitorando a atividade do mesmo ator, cuja atividade remonta a outubro de 2025. O potencial de reuso do framework em outras campanhas é alto — como mostram as semelhanças com campanhas paralelas como AsyncRAT e XWORM, que também usam execução em memória e módulos carregados sob demanda.

Perguntas frequentes

Fontes e leituras adicionais

• Cyber Security News — Hackers Poison Movie Torrents With MovieReaper Malware That Uses Solana for C2 — 18/09/2026
• Securelist / Kaspersky — MovieReaper: Trojan attack via movie torrents, including "The Odyssey" — 09/2026