Framework C2 Mythic: de ferramenta de Red Team a ameaça real na internet

A pesquisa da Censys acende um alerta sério para a comunidade de segurança: o Mythic, um framework C2 de código aberto, amplamente usado por equipes de Red Team, está agora em uso ativo por agentes de ameaça em intrusões maliciosas. Esta ferramenta robusta, sucessora do projeto Apfell, oferece uma arquitetura baseada em plugins que suporta diversos tipos de agentes, perfis de transporte e uma interface web intuitiva para operadores. Suas capacidades incluem execução remota, suporte a múltiplos agentes e operadores, perfis de transporte modulares (HTTP/S, WebSocket, TCP, SMB, DNS), transferência de arquivos, acesso a credenciais (keylogging, captura de tela, LSASS) e movimentação lateral.

A Censys identificou 131 hosts Mythic expostos na internet até 11 de setembro de 2026, com 115 deles ainda operando com certificados padrão como O="Mythic". Um cluster específico revelou um nível de sofisticação preocupante, combinando o Mythic com implantes customizados em Rust, um canal C2 via Discord e o uso de um domínio, telemetry-update.services, projetado para simular o tráfego legítimo de telemetria do Windows. Este padrão mostra a evolução das táticas de adversários, que utilizam a flexibilidade do Mythic para construir infraestruturas de ataque complexas e furtivas.

Esta situação com o Mythic C2 ecoa o que vimos na cobertura do CEVIU News sobre o ROADtools, em 27 de maio de 2026. Em ambos os casos, ferramentas de código aberto desenvolvidas para uso legítimo em Red Teams e auditorias de segurança estão sendo cooptadas por agentes maliciosos. O que muda é a crescente normalização dessa prática. Não é mais um caso isolado, mas uma tendência clara: ferramentas que oferecem flexibilidade e poder para testar defesas são agora arsenal padrão para atacantes, que as adaptam com técnicas avançadas como implantes em Rust e canais de comunicação obscuros como Discord.

A transição do Mythic de uma ferramenta de Red Team para uma ameaça ativa implica uma reavaliação das estratégias de defesa. Como o Mythic pode implantar uma variedade de agentes (muitos desconhecidos), a detecção baseada em hosts se torna mais difícil. É crucial que defensores identifiquem proativamente os hosts C2 do Mythic. Isso inclui o monitoramento de conexões TLS para certificados com O="Mythic" ou O="Mythic C2", tráfego de saída na porta 7443 para IPs de nuvem sem serviços legítimos, certificados com CN="operators" ou CN="multiplayer", e detecção de deployments de Docker Compose que incluam contêineres do Mythic. A vigilância contra tarefas agendadas inesperadas e injeção de processos em sistemas Windows também é fundamental.