Amatera Stealer usa blockchain para ocultar servidores C2

Amatera Stealer usa blockchain para ocultar servidores C2 e elevar a resiliência dos ataques

O uso de tecnologias legítimas e infraestruturas descentralizadas por cibercriminosos está tornando as campanhas de malware cada vez mais difíceis de detectar e interromper.

Uma campanha recente envolvendo o Amatera Stealer demonstra essa evolução. Os atacantes estão utilizando smart contracts associados a blockchain para localizar dinamicamente servidores de Comando e Controle (Command and Control – C2), combinando essa técnica com loaders sofisticados, ferramentas legítimas do Windows e execução de código em memória.

A técnica é conhecida como EtherHiding e representa uma mudança importante na forma como algumas infraestruturas maliciosas estão sendo construídas.

O que é o Amatera Stealer?

O Amatera Stealer é um malware especializado no roubo de informações — categoria normalmente denominada infostealer.

A família não surgiu do zero. Pesquisadores da Proofpoint identificaram o Amatera como uma evolução e rebranding do ACR Stealer, apresentando significativa sobreposição de código com seu antecessor.

O malware é comercializado segundo o modelo Malware-as-a-Service (MaaS), permitindo que diferentes operadores utilizem a plataforma em suas próprias campanhas.

Entre as informações que podem ser coletadas estão:

credenciais armazenadas em navegadores;
cookies e dados de sessão;
extensões de navegador;
carteiras de criptomoedas;
arquivos contendo informações sensíveis;
aplicativos de mensagens;
dados de gerenciadores de senhas.

O comprometimento de cookies e tokens de sessão merece atenção especial porque pode permitir que o atacante reutilize sessões autenticadas e realize Account Takeover (ATO) mesmo sem conhecer diretamente a senha da vítima.

A Proofpoint já havia alertado, em junho de 2025, que o Amatera estava em desenvolvimento ativo e incorporava mecanismos avançados de evasão, incluindo WoW64 Syscalls e formas diferenciadas de comunicação com sua infraestrutura C2.

Fonte: Proofpoint.

A nova cadeia de ataque

Em julho de 2026, pesquisadores da Malwarebytes documentaram campanhas distribuindo o malware por meio de downloads falsos de jogos, mods, cracks e softwares.

A cadeia começa com arquivos aparentemente legítimos oferecidos em sites falsos ou plataformas de compartilhamento.

Um dos elementos interessantes é a utilização do RenPy Loader, também identificado como RenEngine Loader.

Ren’Py é um framework legítimo utilizado principalmente no desenvolvimento de visual novels e jogos narrativos. Os atacantes aproveitam esse ecossistema para fazer o pacote malicioso parecer legítimo.

Enquanto a vítima visualiza algo semelhante a um instalador normal, diferentes estágios do malware são executados em segundo plano.

A Malwarebytes identificou campanhas nas quais a cadeia segue, de maneira simplificada:

Download falso → RenPy Loader → scripts BAT → MSBuild → componentes .NET → EtherHiding → payloads adicionais → Amatera Stealer

MSBuild entra na cadeia de ataque

Outro componente legítimo utilizado é o MSBuild, ferramenta da Microsoft destinada à construção de aplicações .NET.

O loader utiliza arquivos de projeto maliciosos para executar código por meio do MSBuild.

Esse comportamento se enquadra em um padrão conhecido como Living off the Land (LotL): em vez de depender exclusivamente de executáveis maliciosos próprios, o atacante utiliza binários e componentes legítimos existentes no sistema operacional.

Isso pode dificultar mecanismos de detecção baseados exclusivamente na reputação do executável.

A presença de MSBuild.exe, portanto, não constitui isoladamente um indicador de comprometimento. O contexto de execução, árvore de processos, argumentos utilizados, arquivos carregados e conexões realizadas tornam-se fundamentais para a detecção.

EtherHiding: o C2 escondido na blockchain

O componente tecnicamente mais interessante da campanha é o uso de EtherHiding.

Tradicionalmente, malware contém direta ou indiretamente informações sobre os servidores C2 que deve contatar.

Esses indicadores podem ser identificados por pesquisadores e utilizados para bloqueio de:

domínios;
endereços IP;
URLs;
infraestrutura de hospedagem.

O EtherHiding modifica parcialmente essa lógica.

Em vez de armazenar diretamente o endereço C2 no malware, determinados dados necessários para localizar a infraestrutura são obtidos através de informações mantidas em smart contracts acessíveis por blockchain.

Na campanha analisada pela Malwarebytes, um componente denominado GollopDevest.dll realiza uma chamada JSON-RPC eth_call para obter dados relacionados ao C2.

Por que isso é relevante?

Blockchains públicas possuem características muito diferentes da infraestrutura tradicional utilizada por malware.

Entre elas:

Descentralização

Não existe necessariamente um único servidor responsável por disponibilizar aquela informação.

Imutabilidade

Informações registradas em blockchain não podem simplesmente ser removidas como um arquivo hospedado em um servidor convencional.

Infraestrutura legítima

A consulta pode ocorrer através de endpoints associados a serviços legítimos do ecossistema blockchain.

Atualização dinâmica

Dependendo da implementação do smart contract, os operadores podem modificar determinadas informações utilizadas pela cadeia maliciosa sem precisar distribuir novamente o malware inicial.

Isso aumenta a resiliência da infraestrutura de comando e controle.

Blockchain como camada de resolução

É importante fazer uma distinção técnica.

O EtherHiding observado não significa necessariamente que toda a comunicação C2 ou todos os dados roubados estejam sendo transmitidos através da blockchain.

Na cadeia analisada, a blockchain funciona principalmente como uma espécie de camada descentralizada para obtenção ou resolução da infraestrutura maliciosa.

Depois de recuperar a informação necessária, o malware pode estabelecer comunicação com infraestrutura convencional para baixar os próximos estágios.

Essa arquitetura dificulta estratégias tradicionais de takedown porque remover apenas um domínio ou endereço IP pode não eliminar completamente o mecanismo utilizado pelos atacantes para reconstruir ou localizar sua infraestrutura.

Amatera está evoluindo rapidamente

Outra pesquisa importante foi publicada pela eSentire em maio de 2026.

A empresa analisou uma tentativa de comprometimento envolvendo o Amatera Stealer 4.0.2 Beta em uma organização do setor financeiro.

A análise demonstrou uma evolução significativa das capacidades do malware.

Entre as mudanças identificadas estavam:

aumento das extensões de navegador relacionadas a carteiras de criptomoedas visadas, de 132 para 165;
aumento de 41 para 137 carteiras desktop visadas;
coleta de informações relacionadas ao Discord;
expansão da coleta relacionada ao Signal;
busca por arquivos no diretório Downloads;
expansão dos padrões utilizados para localizar seed phrases, chaves privadas e outros arquivos sensíveis;
ampliação da busca relacionada a Bitwarden, 1Password, RoboForm e NordPass.

A evolução mostra que o objetivo não está limitado ao roubo tradicional de senhas.

Os operadores procuram cada vez mais identidades digitais, sessões autenticadas, ativos financeiros e credenciais capazes de permitir movimentação lateral ou novos comprometimentos.

Criptografia da comunicação C2 também evoluiu

A análise da eSentire identificou ainda alterações importantes na proteção da comunicação.

Versões anteriores utilizavam AES-256-CBC.

Na versão analisada em 2026, os desenvolvedores migraram para um mecanismo envolvendo:

ECDH (Elliptic Curve Diffie-Hellman) utilizando NIST P-256 → estabelecimento da sessão → ChaCha20-Poly1305 para proteção das mensagens C2.

Essa mudança dificulta a inspeção do tráfego e demonstra um nível crescente de maturidade no desenvolvimento do malware.

A mesma versão introduziu novas técnicas de:

anti-debugging;
anti-emulação;
identificação de sandbox;
ofuscação de fluxo de controle;
codificação de números utilizados em Syscalls;
execução através de WoW64 Syscalls.

ClickFix continua sendo um vetor importante

O Amatera também vem aparecendo em campanhas utilizando ClickFix.

Nesse tipo de ataque, a vítima encontra uma página que simula algum problema ou processo de verificação — frequentemente um CAPTCHA.

A página fornece instruções que levam o próprio usuário a executar um comando malicioso.

A HP Wolf Security observou no primeiro trimestre de 2026 uma campanha na qual falsos CAPTCHAs orientavam usuários a executar comandos que iniciavam uma cadeia de comprometimento responsável pela instalação do Amatera.

A campanha utilizava componentes legítimos e técnicas como:

mshta.exe;
PowerShell;
arquivos com extensões enganosas;
DLL sideloading;
executáveis Python legítimos;
execução de payloads adicionais.

A HP também observou que o Amatera poderia funcionar como loader para cargas adicionais, incluindo o NetSupport, ferramenta legítima de administração remota que pode ser abusada por atacantes.

A combinação torna o ataque particularmente interessante

Individualmente, nenhuma dessas técnicas é totalmente nova.

O problema está na combinação:

Engenharia social
↓
Sites e downloads falsos
↓
ClickFix
↓
Frameworks legítimos
↓
LOLBins / ferramentas legítimas do Windows
↓
Execução em memória
↓
Técnicas anti-EDR
↓
Blockchain / EtherHiding
↓
C2
↓
Amatera Stealer
↓
Roubo de identidade e credenciais

Essa arquitetura cria várias oportunidades de evasão e reduz a eficácia de controles baseados apenas em indicadores estáticos.

O desafio para SOCs e equipes de segurança

Campanhas como essa reforçam uma mudança importante para os Centros de Operações de Segurança (Security Operations Center – SOC).

Bloquear somente hashes, domínios e endereços IP conhecidos continua sendo útil, mas não é suficiente.

Os controles precisam considerar comportamentos e sequências de execução.

Alguns exemplos que merecem monitoramento incluem:

execução anômala de MSBuild;
utilização suspeita de mshta.exe;
PowerShell iniciado por processos incomuns;
processos legítimos carregando DLLs não esperadas;
execução de código a partir de diretórios temporários;
conexões inesperadas com endpoints de blockchain;
criação de processos suspensos seguida de manipulação de memória;
acesso anormal a bancos de dados de navegadores;
acesso massivo a arquivos relacionados a credenciais ou carteiras;
comportamento de coleta seguido por comunicação externa.

O contexto é fundamental: uma chamada para infraestrutura blockchain não representa, por si só, comportamento malicioso.

Medidas recomendadas

Organizações podem reduzir a exposição através de uma combinação de controles preventivos, detectivos e de resposta.

1. Restringir ferramentas potencialmente abusáveis

Avaliar a necessidade operacional de componentes como:

MSBuild.exe
mshta.exe
PowerShell
Windows Script Host

A restrição deve considerar o impacto operacional antes da implementação.

2. Monitorar comportamento, não apenas IOC

EDR/XDR e SIEM devem correlacionar árvores de processos, argumentos, carregamento de DLLs, acesso a credenciais e conexões externas.

3. Monitorar tráfego relacionado a blockchain

Organizações que não possuem necessidade operacional para acesso a determinados serviços blockchain podem avaliar restrições ou alertas específicos.

O bloqueio indiscriminado, entretanto, deve ser precedido de análise de impacto.

4. Fortalecer proteção de identidade

Como infostealers roubam cookies e tokens de sessão, MFA isoladamente não elimina completamente o risco.

Devem ser considerados controles adicionais como:

Conditional Access;
autenticação resistente a phishing;
gerenciamento de dispositivos;
análise de risco de sessão;
revogação rápida de tokens;
monitoramento de comportamento de identidade.

5. Treinamento contra ClickFix

Usuários devem ser orientados de que páginas web legítimas raramente precisam que o visitante:

pressione Windows + R → cole um comando → pressione Enter

Esse comportamento deve ser tratado como forte indicador de tentativa de comprometimento.

Conclusão

O Amatera Stealer representa mais do que uma nova família de malware.

Sua evolução demonstra como o ecossistema de cibercrime está combinando Malware-as-a-Service, engenharia social, ferramentas legítimas, técnicas Living off the Land, execução em memória, criptografia avançada e infraestrutura blockchain.

O uso de EtherHiding merece atenção particular.

Ao utilizar smart contracts como mecanismo auxiliar para localizar infraestrutura C2, os atacantes introduzem uma camada descentralizada em uma parte da cadeia que tradicionalmente dependia de domínios e servidores relativamente fáceis de bloquear ou derrubar.

Para as organizações, a consequência é clara: defesas baseadas exclusivamente em listas de IOC tornam-se progressivamente menos eficazes.

A detecção precisa migrar cada vez mais para correlação de comportamento, identidade, endpoint, rede e contexto de execução.

O caso do Amatera também mostra uma tendência que provavelmente continuará: tecnologias criadas para desenvolvimento, descentralização e inovação serão cada vez mais incorporadas às cadeias de ataque.

O desafio para as equipes de segurança será distinguir rapidamente uso legítimo de abuso malicioso, sem depender exclusivamente da reputação da tecnologia utilizada.

Referências

GBHackers — Hackers Abuse Ethereum Smart Contracts to Hide Amatera Stealer C2 Servers
21 de julho de 2026.

Malwarebytes — Fake games spread stealers with RenPy Loader, MSBuild and EtherHiding
20 de julho de 2026.

Proofpoint — Amatera Stealer: Rebranded ACR Stealer With Improved Evasion, Sophistication
16 de junho de 2025.

eSentire Threat Response Unit — Amatera Stealer 4.0.2 Beta: What’s New in This Variant
14 de maio de 2026.

HP Wolf Security — Threat Insights Report, June 2026
Campanhas ClickFix distribuindo Amatera Stealer no primeiro trimestre de 2026.

eSentire — EVALUSION Campaign Delivers Amatera Stealer and NetSupport RAT
13 de novembro de 2025.

Clique e fale com representante oficial Netwrix Endpoint Protector

Veja também:

Amatera Stealer usa blockchain para ocultar servidores C2

O que é o Amatera Stealer?

A nova cadeia de ataque

MSBuild entra na cadeia de ataque