[Ananke_Sec0]

Apresentamos o Abismo Malware (Windows) — um pacote completo de malware que só traz benefícios e requer poucos recursos para funcionar.

Abismo é um malware sofisticado capaz de controlar milhares de máquinas a partir de um único chatbot do Telegram. A lógica é simples: infectado, executado, acessado — sem burocracia, sem servidores de comando e controle para configuração, sem instalação direta do malware.

O que torna o Abismo uma suíte completa:

◬ ESPIONAGEM

Keylogger com análise de formação de palavras, correções, detecção de teclas especiais e entrega automática de logs.

Captura de webcam com detecção de múltiplas câmeras e extensas adaptativas.

Monitoramento da área de transferência em tempo real

Captura ao vivo de notificações reais do sistema

Monitoramento de portas abertas com processo associado

Monitoramento de janela aberta

Gravação de microfone com seleção de dispositivo e listagem de microfones conectados.

Gravação de tela com renderização de vídeo e divisão automática em partes.

Monitoramento direcionado de janelas por título, com captura contínua.

Extração de arquivo sensível

Baixe o diretório completo com variações e divisão automática.

Geolocalização completa: cidade, região, país, coordenadas, fuso horário, provedor de serviços de internet (ISP), organização e ASN (Número de Identificação Automática).

Túnel reverso para expor um servidor web local com uma interface de tema personalizado.

◬ NAVEGADORES

Extração de senhas descriptografadas, cookies de sessão, histórico, favoritos, dados de formulários e extensões de vários navegadores.

Extração completa de dados de navegadores alternativos

Extração de sessão do Telegram Desktop com descriptografia de chave e compressão de múltiplas sessões.

◬ COMUNICAÇÃO

Bate-papo ao vivo com a vítima em uma janela dedicada, com bloqueio de teclas e canal bidirecional.

Entrega da mensagem no chat da vítima

Encerramento de bate-papo remoto

◬ VERME / AUTORREPLICAÇÃO

Modo worm simples

Worm avançado com varredura completa do disco rígido, exclusão de pastas do sistema e polimorfismo usando múltiplas técnicas de mutação.

Replicação de rede com ataques de força bruta a credenciais, detecção de vulnerabilidades conhecidas e execução remota.

Monitor central que reativa o worm caso o processo principal seja encerrado.

Relatório de distribuição por unidade, pastas infectadas e cópias ativas.

◬ PERSISTÊNCIA E EVASÃO

Persistência por meio de múltiplos mecanismos, incluindo inicialização automática, atalhos ocultos e tarefas agendadas executadas como SISTEMA.

Desativação completa do Windows Defender, incluindo proteção em tempo real, serviços, pastas e exclusões de caminhos.

Rootkit operacional: persistência na inicialização, ocultação de processos/arquivos/registro, infecção do MBR, evasão de antivírus e ganchos de sistema.

Modo fantasma: ocultação do console, injeção em processos legítimos e mascaramento sob nomes de processos do sistema.

Elevação de privilégios: mesmo quando executado por um usuário padrão, o malware pode elevar seus privilégios para administrador/SYSTEM por meio de múltiplas tentativas de burlar o UAC — sem necessidade de senha ou consentimento do usuário.

Detecção de antivírus: mais de 40 marcas identificadas

Remoção de antivírus de terceiros por meio de desinstalador silencioso, encerramento forçado e exclusão de pastas.

◬ INFORMAÇÕES DO SISTEMA

Credenciais do Windows: credenciais salvas, senhas de Wi-Fi, cofre do sistema, conexões de rede e servidores RDP salvos.

Informações do sistema: nome do host, usuário, sistema operacional, processador, arquitetura, memória, disco, interfaces de rede e conexões ativas.

Processos em execução

Aplicativos instalados

Redes Wi-Fi e senhas

Dispositivos USB conectados com categorização (hubs, armazenamento, teclados, mouses, câmeras, áudio, Bluetooth, rede)

Varredura de rede com detecção de dispositivos, nomes de host e identificação do sistema operacional.

◬ RANSOMWARE

Criptografia de arquivos por caminho ou criptografia completa do sistema com chave derivada e extensão personalizada.

Nota de resgate e múltiplas cópias em pastas de usuário.

Decriptação com a chave fornecida

Limpeza da área de trabalho

Tela cheia do ransomware com símbolo visual, contagem regressiva de 24 horas, bloqueio de teclas, bloqueio de entrada e destruição do sistema ao término do cronômetro.

◬ ADWARE

janela de anúncio do navegador em tela cheia

Bloqueio da tecla Escape

URL, intervalo, duração e modo configuráveis (uma vez/repetir)

Configuração persistente

◬ BOTNET (DDoS)

Multiple attack vectors

Per-attack ID control: start, stop, pause, resume, stop all, status

Periodic reports with packets sent, packets per second, data sent, speed, and active threads

Configurable bandwidth limit

◬ CONTROL
Dedicated control mode that acts as a selector, allowing direct commands that run on all machines or targeted redirection to specific machines via id=.

◬ LOCKDOWN (Admin Required)

Full or selective blocking of terminal, task manager, browsers, firewall, keyboard and mouse, drives, and USB

Blocking through multiple mechanisms, including registry, file attributes, and access permissions

Permanent lockdown with automatic rule reapplication

Reversible unlock for all categories

◬ ANTI-ANALYSIS

Virtual environment and sandbox detection through multiple indicators

Debugger and analysis tool detection

Anti-dump and anti-attach protections

Process masquerading under legitimate system names

String obfuscation and code mutation

◬ SINGLE-INSTANCE CHECK

Prevention of multiple instances

Takeover system: if the main process is terminated, a new instance takes over and notifies

◬ HEALTH & DIAGNOSTICS

Health tracker with intelligent heartbeat, uptime statistics, average latency, and status

Self-diagnostics with alerts for no internet or unstable connection

Automatic reconnection

◬ BONUS — POWERFUL INJECTOR

Abismo also ships with a powerful standalone injector — a builder that binds the malware into any legitimate executable, turning it into a fully weaponized file without breaking the host's behavior.

Universal EXE infection — injects the payload into virtually any .exe file, preserving the original application so it still runs normally for the victim

Mass folder infection — a dedicated mode that scans an entire directory recursively and infects every executable found inside it in a single pass

Dual-layer encryption — both the host executable and the payload are individually encrypted with strong symmetric encryption, then compressed at maximum level before being embedded

Key derivation hardening — encryption keys are derived with a heavy, salted, high-iteration key derivation function, making static analysis and signature extraction significantly harder

Fully obfuscated payload — all embedded data is stored as encrypted, encoded blobs inside the launcher, so the final binary reveals nothing on plain inspection

Silent staged execution — on launch, the injector decrypts both files into the system temp directory, runs the payload silently in the background, then runs the original host application so the victim notices nothing unusual

Automatic cleanup — after execution, all dropped files are removed from the temp directory, leaving no obvious trace behind

Icon preservation — extracts and reuses the original executable's icon so the infected file looks identical to the legitimate one

UAC-aware — automatically detects whether the original host requires administrator privileges and mirrors that behavior in the final build, so the infected file blends in naturally

Compilação silenciosa e sem janelas — o executável final é compilado como um binário de arquivo único, sem console, que roda inteiramente em segundo plano, sem nenhuma janela visível.

Suporte a DLLs — quaisquer DLLs localizadas próximas ao próximo nível principal também são criptografadas e internas, garantindo que o aplicativo original continue funcionando corretamente quando executado a partir do diretório temporário.

Preservação de metadados — o carimbo de dados/hora de modificação do arquivo original é restaurado após uma infecção, de modo que os dados do arquivo pareçam intactos.

Resultado final limpo — o injetor produz um único desenvolvimento pronto para implantação que carrega toda a carga útil do Abismo dentro de um host com aparência legítima, pronto para ser divulgado.

Isso transforma o Abismo de uma ameaça independente em uma arma de autopropagação: qualquer eventual nível infectado se torna um novo vetor de distribuição.



Se você tiver interesse nessa arma, entre em contato!