--- title: "HollowFrame Loader usa DLL falsa de Python para enganar o Defender e outros antivírus" author: "André Iglesias" date: "2026-08-05 08:30:00-03" category: "Segurança & Privacidade" url: "http://desbugados.scale.press/portal/desbugados/post/2026/08/05/hollowframe-loader-usa-dll-falsa-de-python-para-enganar-o-defender-e-outros-antivirus/md" --- ## Resumo - O **HollowFrame** é um loader baseado em Go que utiliza a técnica de **DLL Sideloading** com um **python.exe** legítimo e uma **python311.dll** falsa para evadir o Microsoft Defender e outras proteções antivírus. - A campanha, descoberta pela **Blackpoint Cyber** em julho de 2026, iniciou-se com um e-mail de **spear-phishing** contendo um link para um arquivo compactado no **Mega** com um atalho **.lnk** malicioso chamado "Case Documents". - O **HollowFrame** carrega o backdoor **Matryoshka**, escrito em **Rust**, que opera em duas variantes: uma usando **HTTP** puro para comunicação com o C2 e outra utilizando um repositório privado no **GitHub** para controlar vítimas individualmente. - A variante do **GitHub** (**adioziaete/memio**) atribui um diretório dedicado a cada máquina infectada, contendo arquivos como **beacon.json**, **cmd.json** e **result.json** para gerenciar comandos e resultados. - O malware implementa verificações anti-análise avançadas, como monitoramento de **uptime**, **memória instalada** e **movimento do cursor** do mouse, para detectar e evadir ambientes de **sandbox** de segurança. - Medidas de mitigação recomendadas incluem monitorar conexões com a API do **GitHub** de processos não relacionados a desenvolvimento e implementar políticas que restrinjam o carregamento de DLLs de diretórios graváveis pelo usuário. - Essa ameaça demonstra uma tendência onde os invasores estão explorando a **confiança** em ferramentas populares e ambientes de desenvolvimento como vetor de ataque, em vez de buscar falhas técnicas tradicionais no sistema operacional. --- Imagine que você abre um e-mail de trabalho e baixa um arquivo que parece ser a coisa mais inofensiva do mundo: um conjunto de bibliotecas do Python, a linguagem de programação favorita de cientistas de dados e desenvolvedores. Seu antivírus olha para aquilo, vê o nome "python.exe" e decide ignorar. Foi exatamente essa a jogada de mestre que o novo malware **HollowFrame** usou para invadir, sem ser detectado, os computadores de um escritório de advocacia. Esse ataque, revelado no final de julho de 2026 pela **Blackpoint Cyber**, não é apenas mais um vírus: é um manual de como os invasores estão aprendendo a usar a confiança que temos nas ferramentas mais comuns contra nós mesmos, transformando um dos pilares do desenvolvimento moderno em um cavalo de Troia digital. Se você acha que o cenário de cibersegurança está parecendo uma cena de ficção científica onde o inimigo se disfarça de aliado, prepare-se. Vamos "desbugar" cada etapa dessa invasão para que você entenda a engenharia por trás do **HollowFrame** e saiba exatamente o que procurar para proteger sua rede de ataques que se escondem à vista de todos. ## A isca perfeita: como um e-mail simples desencadeou o caos A jornada rumo à infecção começou com o clássico e eficiente **spear-phishing** — um e-mail direcionado, projetado para parecer crível para um alvo específico, contendo um link para uma pasta criptografada no serviço de compartilhamento de arquivos **Mega**. Ao abrir o arquivo, a vítima encontrava um atalho do Windows (arquivo com extensão **.lnk**) batizado de "Case Documents", algo que, para um escritório de advocacia, soa tão rotineiro quanto receber um café da manhã. O que parecia um simples atalho era, na verdade, o detonador de uma sequência de comandos maliciosos; ao ser executado, ele gravava conteúdo codificado em Base64 em um arquivo temporário e utilizava o **certutil**, uma ferramenta legítima do Windows usada para gerenciar certificados, para reconstruir e decodificar o script malicioso na máquina da vítima. Uma vez decodificado, o script lançava um **PowerShell** — a ferramenta de automação do Windows — altamente ofuscado, que solicitava privilégios administrativos. É aí que o ataque começa a ganhar uma camada de crueldade silenciosa: elevado a administrador, o script conectava a máquina ao servidor de comando e controle (C2) dos invasores, localizado no endereço IP **2.26.252[.]84**, e, antes de baixar qualquer carga útil, criava exceções no **Microsoft Defender**. O antivírus foi instruído a ignorar completamente o diretório de instalação do malware e o processo **python.exe**. Com as defesas cegas, a vítima estava pronta para o próximo passo: receber o imitador. ## O disfarce genial: quando Python vira uma armadilha de DLL Sideloading Com o terreno limpo, o atacante baixou um arquivo compactado chamado **Python-3.11.0-embed-amd96.zip** via HTTP (sem criptografia), que se passava por uma distribuição legítima do **Python 3.11**. Aqui reside o truque de prestidigitação mais elegante (e perigoso) da campanha: a técnica de **DLL Sideloading**. O malware fornece um **python.exe** legítimo, mas o substitui por uma **python311.dll** falsa — uma biblioteca de 64 bits escrita em **Go** que exporta apenas quatro nomes de funções que o executável do Python espera encontrar, como **Py_Main**. Quando o **python.exe** é inicializado, ele carrega automaticamente essa DLL falsa, acreditando ser o ambiente de tempo de execução do Python. Assim, nenhum script Python precisa ser realmente executado; o próprio carregador legitimo invoca o código malicioso, burlando ferramentas de detecção que desconfiariam de um executável de origem desconhecida. Dentro dessa DLL falsa, o **HollowFrame** opera como um loader modular avançado, contendo uma região criptografada de mais de **seis milhões de bytes**. Após a extração via criptografia **XChaCha20-Poly1305** — um algoritmo moderno e rápido — o malware ganha vida e suporta métodos de execução que lembram táticas de espiões cibernéticos de alto nível, como o **Process Ghosting** (um método para carregar um executável na memória e deletá-lo do disco antes mesmo de iniciar), **Module Stomping** (injecting code into other modules) e mapeamento manual de PE (Portable Executable). O grau de refinamento é tão alto que os pesquisadores da **Blackpoint Cyber** apontaram que cada estágio da invasão reduz visivelmente o comportamento malicioso, fragmentando a lógica da infecção de modo a tornar a atribuição e a detecção extremamente difíceis. ## Matryoshka: a marionete que esconde dois demônios O objetivo final do **HollowFrame** não é apenas permanecer na máquina, mas estabelecer uma base de operações robusta para o **Matryoshka**, um backdoor escrito em **Rust** e nomeado em referência às famosas bonecas russas que se encaixam umas dentro das outras — uma analogia perfeita para o funcionamento camada por camada do malware. O **Matryoshka** se manifesta em duas variantes distintas, cada uma com seu próprio canal de comunicação. A primeira variante se disfarça ao lado de uma atualização legítima do **Microsoft OneDrive**, utilizando uma DLL falsa chamada **version.dll** que se comunica diretamente com o servidor C2 em **45.158.196[.]184:8888** usando protocolos **HTTP** puros, sem criptografia. A segunda variante, no entanto, eleva a criatividade dos invasores a um novo patamar ao transformar o **GitHub** em seu centro de comando. Utilizando uma DLL falsa de **wtsapi32.dll** (que intercepta 41 funções legítimas do Windows Terminal Services), ela se conecta a um repositório privado chamado **adioziaete/memio**. O perfil no GitHub associado a esse ataque, **adioziaete**, foi criado em 6 de janeiro de 2023, mas teve sua última atualização em 7 de junho de 2026, sugerindo que a infraestrutura esteve em desenvolvimento por um longo período. Para cada vítima comprometida, o malware cria uma pasta dedicada no repositório, nomeada com o formato **_**, que contém arquivos como **beacon.json** (para sinalizar que a máquina está viva), **cmd.json** (comando a ser executado) e **result.json** (resultado da execução), além de uma pasta **upload/** para transferência de arquivos. ## O que o Matryoshka faz dentro da sua rede Com a comunicação estabelecida, o **Matryoshka** não fica apenas observando. Os pesquisadores **Nevan Beal** e **Sam Decker**, da **Blackpoint Cyber**, detalharam que a ferramenta oferece um ponto de apoio persistente para execução remota de comandos, permitindo que o invasor realize um verdadeiro reconhecimento de **Active Directory**. O backdoor é capaz de identificar controladores de domínio, enumerar computadores na rede e grupos privilegiados, inventariar configurações de rede, privilégios locais e todo o software instalado na máquina comprometida. Em um cenário real, isso significa que, uma vez dentro, o atacante tem a capacidade de mapear toda a arquitetura da vítima, roubar credenciais, mover-se lateralmente entre sistemas e implantar ferramentas adicionais que sustentam um comprometimento de domínio completo. O nível de paranoia dos invasores chega ao ponto de fazer o **Matryoshka** realizar verificações anti-análise sofisticadas antes de desdobrar suas funções. Ele examina o tempo de atividade do sistema (uptime), a quantidade de memória instalada, o número de arquivos no perfil do usuário e até o **movimento do cursor** do mouse. Por que isso? Porque ambientes de análise automatizados, como **sandboxes** usados por antivírus, costumam ter sistemas com poucos arquivos, memória reduzida, tempo de atividade curto e, o mais importante, um cursor completamente estático. Se o malware perceber qualquer uma dessas condições artificiais, ele simplesmente não executa, enganando as ferramentas de segurança que tentam analisá-lo em laboratório. ## Uma lição para o futuro: a confiança é a nova vulnerabilidade Essa campanha da **Blackpoint Cyber** contra o escritório de advocacia expõe uma tendência perturbadora e, ao mesmo tempo, fascinante: os invasores estão deixando de explorar falhas técnicas para explorar a **confiança**. Eles não precisaram de um *zero-day* do Windows; eles precisaram apenas saber que o **Python** é confiável, que o **OneDrive** é onipresente e que o **GitHub** é uma ferramenta colaborativa aberta. Para se proteger, as recomendações incluem reforçar os controles em torno de arquivos provenientes de e-mails, especialmente arquivos criptografados e atalhos **.lnk**. Outro ponto que muda completamente o jogo é a necessidade de aplicar políticas de controle de aplicativos que restrinjam o acesso à API do **GitHub** a partir de endpoints que não são de desenvolvimento, uma vez que monitorar conexões inesperadas com **api.github.com** vindo de processos que não são navegadores se tornou uma prioridade para identificar o **Matryoshka** em operação. No fundo, o que o **HollowFrame** nos mostra é que a segurança do futuro não depende apenas de bloquear o que é claramente malicioso, mas de questionar ativamente o que é **surpreendentemente benigno**. Afinal, se um dia a inteligência artificial começar a gerar ameaças que se escondem dentro de pacotes de software tão comuns quanto o **DeepSeek** — como já vimos em [artigos anteriores do Desbugados](https://desbugados.com.br/post/2026/07/03/deepseek-obedece-comando-para-criar-ransomware-no-navegador-e-levanta-alertas-de-seguranca) — saber identificar a diferença entre uma biblioteca falsa e uma legítima será a habilidade mais valiosa do profissional de TI. O amanhã dos cibercriminosos já está aqui, vestido com a camiseta do seu framework favorito.