O ficheiro malicioso, identificado como App_Web_Container_1.dll, comporta-se como um componente legítimo do servidor, facilitando a infiltração sem levantar suspeitas. Esta backdoor multifuncional oferece controlo total sobre o servidor comprometido, incluindo funcionalidades como proxy ou túnel, o que pode expor redes internas ou permitir a exfiltração de dados sensíveis. Além disso, o GhostContainer pode descarregar dinamicamente módulos adicionais, aumentando as suas capacidades maliciosas consoante as necessidades do atacante.

A análise do GReAT demonstra que os autores deste malware possuem conhecimentos técnicos profundos sobre ambientes Exchange e IIS, assim como uma capacidade notável para explorar e combinar projetos de código aberto. A ausência de infraestrutura identificável e o uso de código reutilizável dificultam a atribuição da autoria a um grupo APT específico, o que representa um desafio adicional para os investigadores. O crescimento acentuado no número de pacotes maliciosos em repositórios públicos - cerca de 14.000 até ao final de 2024 - sublinha a tendência preocupante do abuso de código aberto em ciberataques avançados.

Para mitigar estas ameaças, a Kaspersky recomenda às organizações que reforcem a sua postura de segurança com medidas como o acesso à sua Threat Intelligence, formação contínua das equipas de cibersegurança (nomeadamente com conteúdos desenvolvidos pela própria GReAT), e a adoção de soluções EDR e de deteção precoce de ameaças em rede. A empresa reforça ainda a importância da formação de sensibilização para prevenir ataques baseados em engenharia social, frequentemente utilizados como ponto de entrada inicial nestes cenários.

A Kaspersky continua empenhada em monitorizar a evolução destas ameaças e em fornecer ferramentas e conhecimento atualizado para proteger utilizadores e organizações contra campanhas de espionagem digital cada vez mais sofisticadas. Esta descoberta vem reforçar o papel essencial da análise contínua de ameaças em ambientes críticos e a importância de proteger infraestruturas vulneráveis como o Exchange.