Falcon: framework de C2 no navegador espiona governos

A Unit 42, divisão de pesquisa de ameaças da Palo Alto Networks, publicou em 11 de novembro de 2026 a análise de um framework de comando e controle que opera inteiramente dentro do navegador da vítima. Batizado de Falcon — também referido como XG ou Xiàng Gē —, o conjunto de ferramentas não depende de instalar um executável na máquina: basta que o alvo abra uma página legítima que foi adulterada com um pequeno trecho de JavaScript.

O alvo observado foi o setor público. Segundo a Unit 42, a atividade atingiu órgãos de governo de um país do Oriente Médio e de quatro países do Sudeste Asiático entre março e maio de 2026, com vítimas em ministérios de relações exteriores, defesa e interior, além de agências policiais. O que os operadores buscavam era material de acesso e comunicação: senhas, mensagens de e-mail, cookies de sessão e o conteúdo das conversas.

O caso importa menos pelo volume de vítimas e mais pelo ponto de apoio escolhido. Um framework de C2 no navegador vive na mesma camada em que o funcionário já está autenticado, com a sessão válida e o segundo fator resolvido. Não há binário para um antivírus avaliar, não há processo estranho na lista de tarefas e, do ponto de vista do servidor de e-mail, as requisições partem do navegador certo, com o cookie certo.

Como o Falcon transforma o navegador em canal de controle

A entrada se dá pela adulteração de uma aplicação web em que a vítima confia. A Unit 42 descreve a injeção de uma tag de script em portais de webmail e em sistemas web de governo; a partir daí, o servidor do atacante entrega um script ofuscado gerado por sessão, isto é, diferente para cada visitante, o que reduz a utilidade de assinaturas estáticas.

A comunicação com o servidor usa WebSockets, com uma chave de sessão AES negociada por RSA. O detalhe relevante para a defesa é que existe um protocolo de reserva — e esse caminho alternativo trafega sem cifragem, o que abre espaço para inspeção quando a negociação principal falha.

Para sobreviver a recarregamentos e trocas de aba, o framework guarda o identificador de sessão em três lugares ao mesmo tempo: armazenamento local, cookies e armazenamento de extensão. A nomenclatura escolhida para essas chaves imita o padrão Hm_lvt_ usado por scripts de análise de audiência da Baidu — uma decisão de camuflagem que faz o artefato parecer telemetria comum em uma inspeção apressada.

A extensão disfarçada de leitor de PDF e o painel escondido

Quando o acesso pelo script não basta, o Falcon parte para a instalação de uma extensão de navegador. A peça analisada se apresenta como um “PDF Viewer” e solicita 40 permissões — número que, por si só, não combina com a função anunciada.

O conjunto de módulos da extensão indica o objetivo real: encaminhamento de tráfego usando as sessões já autenticadas da vítima, interceptação de downloads, interceptação de chamadas de rede, captura do conteúdo da área de transferência, leitura de mensagens diretas no X (antigo Twitter), extração de dados de Discord, Zalo e Gmail, e coleta de credenciais, cookies, histórico e arquivos baixados. Em conjunto, isso equivale a transformar o navegador em um proxy operado por terceiros.

O painel de administração do framework foi construído para não parecer existir. A página responde em branco, o clique com o botão direito está desabilitado e o formulário de login só aparece depois de pressionar a tecla F9 três vezes seguidas. Já a página voltada para a vítima exibe um jogo de Tetris ou de Snake como cobertura, de modo que o acesso casual ao endereço não revela nada.

A Unit 42 também registra uma suspeita, e a apresenta como suspeita: características do código — estilo, nomes de variáveis, comentários e escolhas de design inconsistentes entre módulos — sugerem apoio de ferramentas de inteligência artificial no desenvolvimento. Não há, no relatório, prova direta de uso de um modelo específico, e vale tratar esse ponto como hipótese de trabalho, não como fato estabelecido.

Antino, o implante em Rust que usa o OneDrive como C2

O Falcon não termina no navegador. Em parte das intrusões, ele serviu de veículo para o Antino, um implante escrito em Rust que leva a operação para o sistema operacional. A configuração do implante é codificada com uma operação XOR de chave de dois bytes — proteção fraca, voltada a atrapalhar análise superficial, não a resistir a engenharia reversa.

A persistência explora um arquivo de respostas de diagnóstico processado pelo sdiagnhost.exe, binário legítimo do Windows. O implante aceita dez comandos, entre eles execução de linha de comando, listagem de processos e envio e recebimento de arquivos. A Unit 42 observa que o Antino traz suporte à linguagem de script Rhai, mas que não houve uso desse recurso nas amostras analisadas.

O canal de controle é o ponto mais incômodo para quem monitora rede: o Antino usa o Microsoft OneDrive. O tráfego vai para um serviço legítimo, amplamente permitido em ambiente corporativo e difícil de bloquear por reputação de domínio.

Campanhas observadas e o que a evidência sustenta

A Unit 42 detalha três frentes. No Oriente Médio, uma tag de script foi inserida no portal de webmail Roundcube de um ministério de relações exteriores; foram contabilizadas 39 instâncias afetadas, todas no país-alvo. No Sudeste Asiático, uma operação contra uma força policial começou com um módulo de coleta de nomes de usuário e evoluiu para um falso aviso de atualização do Adobe Flash Player, que entregava o Antino. Em um segundo país da região, um órgão do setor de justiça teve uma extensão maliciosa do Chrome carregada em modo de desenvolvedor, com cerca de três semanas de acesso persistente.

Sobre autoria, convém separar o que está demonstrado do que está sugerido. A Unit 42 avalia com alta confiança que o Falcon e o PeckBirdy — framework descrito pela Trend Micro em janeiro de 2026 — são variantes de uma mesma base de código, apoiando-se na estrutura das URLs, nos mecanismos de entrega e na convenção de nomes de cookies. A Trend Micro, por sua vez, associou o PeckBirdy a grupos de ameaça alinhados à China e ao abuso de binários legítimos do sistema. Essa ligação é um indício sobre a origem do código, não uma atribuição do Falcon a um grupo específico, e o relatório da Unit 42 não apresenta nenhum CVE associado à campanha.

O impacto prático merece atenção de quem administra ambientes parecidos. Como o ponto de partida é uma aplicação web interna comprometida, o modelo se aplica bem a qualquer organização que mantenha portal de webmail, intranet ou sistema de protocolo acessível pela internet, com equipe pequena para auditar os modelos de página. Em contrapartida, existe um limite claro: o Falcon depende de alterar o conteúdo servido pela aplicação legítima. Integridade de arquivos no servidor web, política de segurança de conteúdo e revisão de alterações em templates atacam a cadeia na raiz, antes de qualquer discussão sobre detecção no endpoint.

Detecção e mitigação

As recomendações abaixo seguem as orientações do relatório original e devem ser lidas junto do aviso oficial, que traz a lista completa de indicadores.

• Inventariar extensões de navegador no parque gerenciado e tratar como suspeita qualquer extensão carregada em modo de desenvolvedor, sobretudo as que imitam utilitários e pedem permissões amplas.
• Bloquear a instalação de extensões fora de uma lista aprovada, por política de grupo ou pelo gerenciamento do navegador.
• Procurar cookies e chaves de armazenamento com o prefixo Hm_lvt_ em aplicações internas que não usam telemetria da Baidu.
• Comparar os modelos de página das aplicações web expostas com a versão em repositório e investigar qualquer tag de script externa não prevista; manter verificação de integridade de arquivos no servidor.
• Monitorar autenticações e atividade OAuth direcionadas a tenants do OneDrive fora da organização, com atenção a escritas pequenas e repetidas de JSON.
• Registrar e revisar a criação de arquivos de resposta de diagnóstico e a execução do sdiagnhost.exe em estações que não estejam em atendimento de suporte.
• Após qualquer suspeita de comprometimento de navegador, invalidar sessões no servidor e rotacionar credenciais — trocar a senha sem encerrar as sessões ativas não remove o acesso.

Entre os indicadores publicados pela Unit 42 estão os domínios de controle fonts.tarotfree101[.]top, fonts.chrorne[.]com e robot.avbliud[.]com; os domínios de entrega microsoft-flash[.]com e wps-cn[.]com; o identificador de extensão do Chrome mbidcmlcbgbphpoacojjbmfpohcimjji; e o hash SHA-256 0c39264337a1186b2e765e24073399cbdcba118306614eb411e315887af578bd para uma amostra do Antino.

Conclusão

O Falcon não traz uma técnica inédita isolada — injeção de script, extensão maliciosa e abuso de serviço de nuvem como canal de controle são conhecidos separadamente. O que o caso mostra é a montagem desses elementos em um produto coeso, com painel de operação, criptografia por sessão e persistência em três camadas do navegador, aplicado a alvos de governo durante pelo menos três meses sem exigir uma vulnerabilidade de software.

Para as equipes de defesa, o deslocamento é de perímetro: o ativo a proteger passa a incluir a sessão autenticada e o conteúdo servido pelas próprias aplicações internas. Vale observar nos próximos meses se surgem relatos do mesmo framework fora do setor público e se a ligação técnica com o PeckBirdy se consolida em uma atribuição mais firme por parte de outros laboratórios.

Fontes e referências

• Unit 42 (Palo Alto Networks) — “The XG Files: Falcon C2 Flying Under The (Browser) Radar”, 11 de novembro de 2026 — unit42.paloaltonetworks.com
• Trend Micro Research — “PeckBirdy: A Versatile Script Framework for LOLBins Exploitation Used by China-aligned Threat Groups”, janeiro de 2026 — trendmicro.com
• Dark Reading — “China-Backed PeckBirdy Takes Flight for Cross-Platform Attacks” — darkreading.com
• Roundcube Webmail — projeto oficial, notícias e avisos de segurança — roundcube.net
• Google Chrome Enterprise — políticas de controle de extensões — chromeenterprise.google