Grupo chinês usa falha na ESET para implantar novo malware TCESB no Windows

Um grupo de cibercriminosos associado à China está por trás de uma nova campanha maliciosa que explora uma vulnerabilidade em ferramentas da ESET para infiltrar um malware ainda não documentado, batizado de TCESB. A operação foi identificada pelo time da Kaspersky, que revelou detalhes sobre a ameaça em uma análise recente.

Segundo os pesquisadores, o TCESB tem como principal função executar cargas maliciosas de maneira furtiva, contornando as defesas tradicionais de segurança e evitando detecção por soluções de monitoramento instaladas nos sistemas comprometidos.

Origem e contexto da ameaça

A atividade está ligada ao grupo ToddyCat, conhecido por realizar ataques direcionados a organizações na Ásia desde pelo menos dezembro de 2020. No ano anterior, o mesmo grupo utilizou diversas ferramentas personalizadas para manter acesso prolongado a redes invadidas e extrair dados em larga escala, especialmente de instituições localizadas na região Ásia-Pacífico.

Durante uma investigação no início de 2024, a Kaspersky encontrou uma biblioteca DLL suspeita — a “version.dll” — em diretórios temporários de diferentes dispositivos. Essa biblioteca maliciosa de 64 bits, identificada como parte do TCESB, foi executada através de uma técnica conhecida como Sequestro de Ordem de Busca de DLL, permitindo o controle do fluxo de execução de processos.

Exploração da falha no scanner da ESET

A brecha utilizada está associada ao ESET Command Line Scanner, que, ao carregar a DLL “version.dll”, prioriza a leitura do arquivo no diretório local antes de recorrer aos diretórios legítimos do sistema, como “C:\Windows\system32”. Isso abre espaço para que uma versão maliciosa do arquivo seja carregada no lugar da original da Microsoft.

A vulnerabilidade explorada foi registrada como CVE-2024-11859, com uma pontuação CVSS de 6,8, e foi corrigida pela ESET no final de janeiro de 2025. Apesar disso, o ataque só é possível caso o invasor já possua privilégios de administrador, o que limita parcialmente sua gravidade.

Técnicas avançadas do TCESB

A análise revela que o TCESB é uma variação modificada de uma ferramenta de código aberto chamada EDRSandBlast, projetada para manipular estruturas do kernel do sistema e desativar rotinas de notificação, conhecidas como callbacks. Isso torna o malware ainda mais difícil de detectar e bloquear.