Framework de C2 Falcon, que roda só no navegador, invadiu portais Roundcube de governos

Segundo a Unit 42, o Falcon (também chamado XG ou Xiàng Gē) é um framework de C2 escrito em NodeJS que opera inteiramente no contexto do navegador. Ele tem dois listeners: o painel de gestão na porta TCP 8080 e o listener voltado às vítimas na porta 443. O painel fica semioculto: mostra uma página em branco, desativa o menu de contexto e só revela o formulário de login depois de três pressionamentos consecutivos da tecla F9. A página padrão para as vítimas é um jogo de Tetris (em outra instância, Snake), para parecer inofensiva.

Cada visita a um site afetado dispara uma requisição ao servidor, que gera um implant ofuscado por XOR para aquela sessão. O implant mantém um WebSocket com TLS e negocia uma chave AES-256-CBC protegida por RSA de 2048 bits. O ID de sessão persiste em local storage, num cookie Hm_lvt_ com expiração em 2099 e no storage da extensão Falcon, quando instalada. A extensão, chamada PDF Viewer, pede 40 permissões, injeta script em todas as páginas e permite usar o navegador da vítima como proxy com seus cookies e credenciais. A Unit 42 afirma não saber como o operador instala essas extensões. As intrusões ocorreram entre março e maio de 2026 e atingiram órgãos de relações exteriores, defesa, interior e forças policiais em um país do Oriente Médio e em quatro do Sudeste Asiático. A Unit 42 avalia com alta confiança que o Falcon é variante do PeckBirdy, descrito pela Trend Micro em janeiro de 2026, com URLs, entrega de payload e o mesmo prefixo Hm_lvt_ em comum.

Para quem opera webmail ou portais web internos, a lição é que o servidor pode estar íntegro enquanto o navegador do usuário é o alvo. Isso empurra a defesa para integridade de templates, política de extensões no navegador e hunting de cookies fora do padrão, como os que expiram em 2099. É leitura editorial: o fato de o implant ser único por sessão tende a reduzir a utilidade de assinaturas estáticas.