Novo ataque "Cavalry Werewolf" atinge agências russas com FoalShell e StallionRAT

03 de outubro de 2025 - Uma campanha de cibersegurança identificada como "Cavalry Werewolf" está visando o setor público russo usando malwares como FoalShell e StallionRAT.

Detalhes do Ataque

• Período: Maio a agosto de 2025
• Alvos: Agências governamentais russas e empresas dos setores de energia, mineração e manufatura
• Método: E-mails de phishing disfarçados como correspondência oficial do governo do Quirguistão

Malwares Utilizados

FoalShell: Shell reverso leve disponível em versões Go, C++ e C#, permitindo execução de comandos arbitrários

StallionRAT: RAT (Remote Access Trojan) escrito em Go, PowerShell e Python com funcionalidades incluindo:

• Execução de comandos remotos
• Upload de arquivos
• Exfiltração de dados via bot do Telegram
• Comandos específicos como /list, /go e /upload

Conexões e Contexto

O grupo compartilha sobreposições com YoroTrooper e tem ligações com clusters conhecidos como SturgeonPhisher, Silent Lynx e Tomiris. A conexão com Tomiris sugere possível afiliação com o Cazaquistão.

Ferramentas Adicionais

Os atacantes também utilizam:

• ReverseSocks5Agent e ReverseSocks5
• Ferramentas legítimas como Adminer, phpMiniAdmin e mysqldump para extração de dados

Significância

A BI.ZONE alerta que o grupo está expandindo ativamente seu arsenal, destacando a importância de manter medidas atualizadas de prevenção e detecção contra essas ameaças em evolução.