O ISC SANS documentou uma infecção real do trojan bancário Guildma (também rastreado como Astaroth) iniciada por e-mail de phishing em português, disfarçado de contrato digital e com geofencing para só entregar a carga a sistemas configurados no Brasil. A cadeia de infecção usa atalho LNK, Alternate Data Streams para ocultar uma DLL e um script AutoIt compilado para persistência, comunicando-se com C2 hospedado em infraestrutura legítima como Azure Web Apps.
A Netresec publicou uma engenharia reversa do protocolo de comando e controle (C2) binário usado pelo RAT CNCMachineRMS, malware entregue como estágio final de cadeias de ataque BabaDeda via ClickFix com CAPTCHAs falsos. A análise, apoiada em capturas de sandbox e no motor de detecção FlowCarp, mapeou múltiplos servidores C2 e dois domínios de registro recente, entregando hashes e IOCs para defensores de rede.
Análise detalhada de uma intrusão real: um resultado de busca envenenado no Bing leva ao carregador Bumblebee, que instala o C2 AdaptixC2 e termina no ransomware Akira. O relatório mapeia as TTPs completas — acesso inicial, persistência, movimentação lateral e criptografia.
A Netresec analisou uma campanha em que VBScripts maliciosos, distribuídos por mensagens diretas do WhatsApp, instalavam a ferramenta legítima de RMM Ping32 (Shandong Anzai) como estágio intermediário para entregar o ValleyRAT. A análise de tráfego de rede identificou o protocolo customizado Gh0stKCP sobre UDP usado pelo C2 do malware.
Flash report de uma intrusão em que o RAT EtherRat e o servidor de comando-e-controle TukTuk pavimentam o caminho até o ransomware The Gentleman, com a cadeia de ataque e os indicadores de comprometimento documentados para caça e detecção.
A Netresec lançou o FlowCarp, uma ferramenta de linha de comando que identifica o protocolo de aplicação em capturas de rede a partir de medições estatísticas do fluxo — sem usar número de porta, assinaturas estáticas ou parsers de protocolo. A abordagem reconhece até protocolos proprietários e canais de C2 de malware, como o do Mirai, que costumam escapar de IDS baseados em assinatura. A saída segue o formato Suricata Eve JSON (ou CSV), o que facilita encaixar a ferramenta no fluxo de análise pericial de tráfego.