Campanha mira finanças e cripto com golpe social, carregadores em etapas e malware só na memória.
Pesquisadores detalharam o RemotePE, malware usado pelo Lazarus Group contra empresas financeiras e de criptomoedas. A campanha começa com engenharia social no Telegram e usa domínios falsos de reunião. O ataque passa por DPAPILoader e RemotePELoader até executar o RemotePE somente na memória, sem gravar o módulo final em disco.
RemotePE é um malware de acesso remoto associado ao Lazarus Group, grupo ligado à Coreia do Norte segundo o texto analisado. Ele foi observado em ataques contra organizações financeiras e de criptomoedas. O ponto mais importante é que o módulo final roda inteiramente na memória: ele não é salvo como arquivo comum no disco, o que reduz rastros visíveis no computador afetado.
Segundo a análise citada, o RemotePE já havia aparecido em um caso no setor de finanças descentralizadas em setembro de 2025, junto de outras famílias de malware, como PondRAT e ThemeForestRAT.
A cadeia descrita tem várias etapas. Primeiro, o invasor compromete o dispositivo de um funcionário por meio de engenharia social. No caso relatado, a vítima foi abordada no Telegram por alguém fingindo ser funcionário de uma empresa de trading. Depois, a pessoa foi levada a marcar reunião em domínios falsos que imitavam Calendly e Picktime.
Depois disso, entram dois carregadores. O DPAPILoader, identificado como DLL “Iassvc.dll”, usa a proteção de dados do Microsoft Windows, chamada DPAPI, para descriptografar outro componente salvo no disco. Esse segundo componente é o RemotePELoader, que se comunica por HTTP com o servidor “aes-secure[.]net”, busca o módulo principal e o executa na memória. Antes disso, ele tenta reduzir a visibilidade do ataque com técnicas de evasão citadas pelos pesquisadores.
Como o RemotePE final não deixa um arquivo simples para ser encontrado, o foco deve estar nos comportamentos anteriores ao malware:
Empresas financeiras e de cripto devem tratar convites externos como ponto crítico de risco. A ação mais simples é confirmar reuniões por um segundo canal antes de clicar em links recebidos por Telegram. Também é importante orientar equipes a desconfiar de perfis que alegam ser de empresas conhecidas, mas pressionam por agendamento rápido.
Na parte técnica, monitore conexões para domínios citados na investigação, revise alertas envolvendo DLLs incomuns e priorize visibilidade de comportamento, não apenas busca por arquivos. Como o RemotePE roda na memória, depender só de varredura por arquivos pode deixar lacunas.
O texto analisado destaca ataques contra organizações financeiras e de criptomoedas. Isso não significa que outros setores estejam imunes, mas mostra onde a campanha descrita foi observada.
Porque o módulo final não fica gravado como arquivo comum no disco. Isso dificulta a coleta de evidências e pode atrasar a detecção quando a empresa depende apenas de busca por arquivos maliciosos.
No caso descrito, sim: a abordagem ocorreu pelo Telegram, com falsa identidade e agendamento em domínios falsos. Esse padrão deve ser tratado como sinal de alerta, principalmente em áreas financeiras e cripto.
A LC SEC ajuda sua empresa a identificar campanhas de engenharia social, revisar sinais de comprometimento e fortalecer a resposta contra ameaças que operam em múltiplas etapas.
Conheca: Pentest, Threat Intelligence com IA, Conscientizacao de Seguranca, SGSI, Plano Diretor de Seguranca, Auditoria Interna, Governanca de MFA e Cofre TOTP, ISO 42001 - IA, Diagnostico Gratuito de Seguranca. lcsec.io
Fontes:
https://thehackernews.com/2026/05/lazarus-deploys-remotepe-memory-only.html