O grupo de ameaças conhecido como Core Werewolf passou a incorporar o malware CoreRAT às suas operações, utilizando a ferramenta para obter controle remoto sobre computadores Windows comprometidos.
Também rastreado como Awaken Likho e PseudoGamaredon, o grupo está ativo pelo menos desde 2021 e já foi relacionado a campanhas contra órgãos governamentais, empresas industriais e setores ligados à defesa e infraestrutura crítica.
CoreRAT amplia capacidade dos invasores
Um RAT (Remote Access Trojan) funciona como uma porta de acesso ao computador da vítima. Depois da infecção, os operadores podem executar comandos remotamente e utilizar a máquina comprometida como ponto de apoio para novas etapas do ataque.
A adoção do CoreRAT indica uma evolução no arsenal do grupo, que historicamente também utiliza ferramentas legítimas de administração remota.
Em campanhas anteriores, pesquisadores observaram o Core Werewolf empregando UltraVNC e MeshCentral para manter acesso persistente aos computadores comprometidos.
Phishing é uma das principais portas de entrada
Operações anteriores atribuídas ao grupo utilizaram ataques de spear phishing com arquivos maliciosos disfarçados de documentos do Word ou PDF.
Um dos métodos consistia em utilizar extensões duplas, como .docx.exe e .pdf.exe, fazendo com que o arquivo parecesse um documento comum para usuários menos atentos.
Depois da execução, ferramentas de acesso remoto eram instaladas silenciosamente, permitindo aos invasores estabelecer comunicação com sua infraestrutura.
Grupo mira informações estratégicas
As operações associadas ao Core Werewolf possuem características de ciberespionagem. Entre os alvos já documentados aparecem órgãos governamentais russos, empresas industriais, uma base militar e uma instituição de pesquisa envolvida no desenvolvimento de armamentos.
O grupo também apresenta semelhanças operacionais com outras campanhas que imitam técnicas atribuídas ao Gamaredon, ator historicamente associado a operações contra organizações ucranianas.
A chegada do CoreRAT mostra como grupos de espionagem continuam modificando suas ferramentas para dificultar a detecção. Para organizações, o desafio não está apenas em identificar malware conhecido, mas em detectar comportamentos incomuns de acesso remoto, persistência e comunicação com servidores externos.
