Campanha de Malware Abusa de Plugins do Notepad++ para Infiltração Silenciosa

A recente campanha do grupo UAC-0099, identificada pelo CERT-UA, representa um vetor de ataque preocupante que abusa da confiança em ferramentas legítimas. O ataque começa com um script VBS disfarçado de documento PDF. Ao ser executado, este script baixa um arquivo ZIP que contém uma cópia autêntica do Notepad++ na versão 8.8.3, além de componentes maliciosos: um plugin disfarçado (NppExport.dll), um arquivo RAR protegido por senha (updater.rar) e o executável legítimo do WinRAR.

O plugin NppExport.dll é, na verdade, o malware LunchPoke. Ele é carregado pelo Notepad++ através de seu mecanismo padrão de plugins, o que não configura uma vulnerabilidade do aplicativo, mas sim um abuso de funcionalidade. O LunchPoke cria uma tarefa agendada no Windows e extrai o conteúdo do updater.rar. Este arquivo contém o BurnyBear, um loader para o malware MatchBoil V2. Esta é uma técnica de infecção furtiva, que se aproveita da legitimidade do software para evadir detecção, como notado em nossa cobertura de 17 de junho de 2026 sobre plugins maliciosos no JetBrains Marketplace.

O CERT-UA observou uma mudança no modus operandi do grupo UAC-0099. Enquanto campanhas anteriores deste grupo podem ter empregado outras táticas, a tática atual utiliza um script VBS em formato PDF para iniciar a cadeia de infecção. Esta nova abordagem demonstra a adaptabilidade dos atacantes, que migram para métodos de entrega que oferecem maior furtividade e chance de sucesso, abusando de funcionalidades intrínsecas de softwares populares.

Este incidente mostra a sofisticação das táticas de persistência e evasão, especialmente quando atacantes abusam de funcionalidades legítimas de software, como o carregamento de plugins. A segurança corporativa precisa ir além da detecção de exploits, focando também na detecção de uso anômalo de aplicações e na educação dos usuários sobre as cadeias de infecção. A atribuição do UAC-0099 ao grupo APT44 (Sandworm) ressalta a importância de uma defesa robusta, dada a capacidade e os recursos de um ator de ameaça patrocinado por estado.