Grupo Webworm usa Discord e Microsoft Graph para espionagem contra governos europeus

Dois novos backdoors baseados em serviços de nuvem

Segundo a ESET, as campanhas recentes do Webworm utilizam duas ferramentas personalizadas:

EchoCreep

• Backdoor que utiliza o Discord como canal de comando e controle (C2).
• Permite enviar relatórios de execução do malware, receber comandos dos atacantes e transferir arquivos roubados através de mensagens na plataforma.

GraphWorm

• Backdoor que se comunica usando a Microsoft Graph API.
• Essa API permite interagir programaticamente com serviços do Microsoft 365, o que faz o tráfego malicioso parecer atividade corporativa legítima.

Durante a investigação, os pesquisadores conseguiram descriptografar mais de 400 mensagens no Discord associadas à operação, o que ajudou a entender como os invasores controlavam máquinas comprometidas e gerenciavam dados roubados.

Como serviços legítimos estão sendo explorados

Uma característica central das operações do Webworm é o uso de infraestruturas legítimas da nuvem para esconder atividades maliciosas.

A ESET identificou abuso de vários serviços conhecidos:

• Discord – canal de comando e controle e transferência de arquivos usado pelo EchoCreep.
• Microsoft Graph API – comunicação com sistemas infectados dentro de ambientes Microsoft 365.
• Microsoft OneDrive – armazenamento ou movimentação de dados roubados e arquivos operacionais.
• GitHub – parte da infraestrutura usada para hospedar componentes ou auxiliar na comunicação da campanha.

Essa abordagem permite que o tráfego malicioso se misture ao tráfego normal da rede. Em muitas organizações, bloquear totalmente serviços como Microsoft 365 ou Discord é impraticável, o que cria um canal persistente para os invasores.

Governos europeus entre os principais alvos

A investigação aponta que o Webworm mudou seu foco geográfico e passou a mirar instituições governamentais na Europa.

Entre os países afetados estão:

• Bélgica
• Itália
• Polônia
• Sérvia
• Espanha

Além disso, os pesquisadores também observaram atividade envolvendo uma universidade na África do Sul, indicando que a campanha pode ter alcance mais amplo.

Os relatórios públicos não identificam quais ministérios ou agências específicas foram comprometidos.

Mudança de estratégia: menos RATs tradicionais

O Webworm está ativo desde pelo menos 2022 e, historicamente, utilizava malwares de acesso remoto tradicionais (RATs), como Trochilus e 9002 RAT (McRat).

Nos últimos anos, porém, os pesquisadores observaram uma mudança importante: o grupo passou a usar ferramentas de proxy e tunelamento, além de backdoors mais leves.

Essa evolução traz vantagens operacionais claras:

• menor presença de malware nos sistemas infectados
• tráfego que se parece com atividade legítima de rede
• menos indicadores evidentes para antivírus ou ferramentas de segurança

Por que esse tipo de ataque é mais difícil de detectar

A campanha do Webworm ilustra uma tendência crescente na espionagem digital: esconder operações maliciosas dentro de serviços legítimos amplamente utilizados.

Quando o tráfego passa por plataformas confiáveis — como Discord, OneDrive ou APIs da Microsoft — ferramentas de segurança precisam diferenciar atividades normais de uso legítimo da mesma infraestrutura para ataques.

Como bloquear totalmente esses serviços muitas vezes não é uma opção, os atacantes ganham uma vantagem estratégica.

Segundo a ESET, o Webworm está adaptando suas operações exatamente nessa direção, adotando canais de comando e controle baseados em nuvem e ferramentas mais discretas, o que dificulta ainda mais a descoberta de campanhas de espionagem em andamento.

Com atacantes cada vez mais misturados ao tráfego legítimo, a defesa passa a depender mais de detecção comportamental, monitoramento de identidade e análise de anomalias, em vez de simples bloqueios por domínio ou endereço IP.