Netresec decodifica protocolo C2 binário do RAT CNCMachineRMS
A Netresec publicou uma engenharia reversa do protocolo de comando e controle (C2) binário usado pelo RAT CNCMachineRMS, malware entregue como estágio final de cadeias de ataque BabaDeda via ClickFix com CAPTCHAs falsos. A análise, apoiada em capturas de sandbox e no motor de detecção FlowCarp, mapeou múltiplos servidores C2 e dois domínios de registro recente, entregando hashes e IOCs para defensores de rede.
O relatório da Netresec, assinado por Rodel Mendrez, reconstrói o funcionamento de um RAT até então pouco documentado, batizado de CNCMachineRMS. A cadeia de infecção começa com iscas do tipo ClickFix — páginas que simulam um CAPTCHA e induzem a vítima a colar e executar comandos maliciosos — que entregam o carregador BabaDeda antes de baixar o payload final. A primeira captura de tráfego relevante veio de um sandbox de Brad Duncan em abril de 2026, mostrando conexões TCP não criptografadas na porta 443 para um endereço na Europa Oriental, com um padrão de bytes que não correspondia a nenhum protocolo C2 catalogado.
Tecnicamente, o interesse do achado está na forma como o protocolo foi identificado sem acesso prévio a uma amostra do malware ou a documentação de terceiros: a Netresec usou o FlowCarp, um motor estatístico de fingerprinting de tráfego, para reconhecer a assinatura de bytes fixos (sequências consistentes de 0x00 ou 0xff em deslocamentos determinados dentro das mensagens) e, a partir dela, varrer capturas históricas em busca de outros servidores conversando com o mesmo protocolo. Esse pivô — de uma única PCAP de sandbox para um conjunto de IPs e domínios relacionados — é o núcleo do valor investigativo do artigo: mostra uma metodologia de detecção comportamental de C2 desconhecido baseada em análise de tráfego bruto, sem depender de assinaturas de antivírus ou de decompilação do binário. O malware ainda usa DNS-over-HTTPS contra provedores públicos (Google, Cloudflare, Quad9) para resolver a infraestrutura, técnica comum para escapar de bloqueios e logging de DNS tradicional em ambientes corporativos.
Para quem trabalha em resposta a incidentes e forense de rede, o artigo entrega insumos diretamente acionáveis: quatro pares IP:porta usados como C2 entre abril e agosto de 2026, dois domínios recém-registrados e quatro hashes de amostras associadas a arquivos como PDFs e ZIPs falsos. Esses IOCs permitem retrocaça (threat hunting retroativo) em logs de proxy e DNS para identificar infecções já ocorridas, algo especialmente relevante porque o vetor ClickFix depende de engenharia social e tende a passar despercebido por controles de e-mail tradicionais, já que a execução maliciosa acontece via clipboard e terminal, não por anexo.
O caso também ilustra um ponto metodológico relevante para a prática forense: a possibilidade de perfilar e agrupar C2 desconhecido por padrões estruturais no protocolo, antes mesmo de o malware ser nomeado ou catalogado por fornecedores de EDR. Isso reduz o tempo entre a primeira observação de tráfego anômalo e a produção de IOCs utilizáveis em investigações, o que é particularmente útil em cadeias de infecção modulares como BabaDeda, onde o mesmo carregador entrega payloads finais variados ao longo do tempo.