O CERT-UA identificou uma nova família de malware chamada AgingFly, usada em ataques contra governos locais, hospitais e possivelmente representantes das Forças de Defesa da Ucrânia. A campanha é atribuída ao grupo de ameaças UAC-0247. O ataque começa com um e-mail que simula uma oferta de ajuda humanitária, levando a vítima a um site comprometido ou falso. A partir daí, um arquivo LNK ativa uma cadeia de infecção que culmina na implantação do AgingFly. Para roubar dados, os invasores utilizam ferramentas legítimas de código aberto: o ChromElevator extrai cookies e senhas de navegadores baseados em Chromium, como Chrome, Edge e Brave, sem precisar de privilégios de administrador. Já o ZAPiDESK descriptografa os bancos de dados do WhatsApp para Windows. O principal diferencial técnico do AgingFly é a ausência de comandos pré-compilados no código. O CERT-UA recomenda bloquear a execução de arquivos LNK, HTA e JS para interromper a cadeia de ataque.

Um novo malware identificado como AgingFly está sendo usado em ataques contra governos locais, hospitais e possivelmente representantes das Forças de Defesa da Ucrânia. O objetivo é roubar credenciais armazenadas em navegadores baseados em Chromium e no WhatsApp para Windows. Os ataques foram detectados no mês passado pela equipe de resposta a incidentes do país, o CERT-UA, que atribuiu a campanha ao grupo de ameaças rastreado como UAC-0247. ## Isca de ajuda humanitária dá início à cadeia de infecção O ataque começa com um e-mail que se apresenta como uma oferta de ajuda humanitária, contendo um link que redireciona a vítima para um site legítimo comprometido via vulnerabilidade de cross-site scripting (XSS). À esquerda, conversa no aplicativo Yar usada como vetor de distribuição; ao centro e à direita, trecho do código-fonte do AgingFly em C# com os métodos de controle remoto e a chave de criptografia AES hardcoded. Imagem: CERT-UA. Funciona basicamente como uma falha que permite injetar código malicioso em páginas de terceiros. Há também o método que direciona a vítima para um site falso gerado com uma ferramenta de IA. A partir daí, o alvo recebe um arquivo compactado contendo um atalho LNK. Esse arquivo ativa um manipulador HTA embutido, que se conecta a um servidor remoto para baixar e executar outro arquivo HTA. O HTA exibe um formulário falso para distrair a vítima enquanto cria uma tarefa agendada em segundo plano. Essa tarefa baixa e executa um arquivo EXE que injeta shellcode em um processo legítimo do sistema. Visão geral da cadeia de infecção do AgingFly: e-mail com isca judicial, execução do HTA via mshta.exe, tarefa agendada OneDriveUpdater e conexão WebSocket com o servidor C2. Imagem: CERT-UA. Os invasores seguem com um carregador de duas etapas: a segunda usa um formato executável personalizado, e a carga final chega compactada e criptografada. O CERT-UA observa que stagers como um shell reverso TCP ou o RAVENSHELL podem ser usados nessa fase para estabelecer conexão com o servidor de comando e controle. ## Ferramentas legítimas de segurança usadas para roubar dados Após investigar mais de uma dúzia de incidentes, os pesquisadores identificaram que o grupo usa a ferramenta de segurança de código aberto ChromElevator. Ela serve para extrair cookies, senhas salvas e outros dados confidenciais de navegadores como Chrome, Edge e Brave — sem precisar de privilégios de administrador. Para o WhatsApp, os invasores recorrem ao ZAPiDESK, uma ferramenta forense de código aberto capaz de descriptografar os bancos de dados do aplicativo. Troca de e-mails entre a vítima e o remetente malicioso se passando pelo fundo "УкрВарта"; os invasores conduzem a conversa até enviar um link para download do arquivo armado. Imagem: CERT-UA. O grupo também realiza reconhecimento de rede e tenta se mover lateralmente usando utilitários públicos. O primeiro é o scanner de portas RustScan, além das ferramentas de tunelamento Ligolo-ng e Chisel. ## Malware compila seus próprios comandos em tempo real O AgingFly é escrito em C# e oferece aos operadores controle remoto, execução de comandos, exfiltração de arquivos, captura de tela, registro de teclas digitadas e execução de código arbitrário. A comunicação com o servidor C2 ocorre via WebSockets, com tráfego criptografado por AES-CBC usando uma chave estática. O que diferencia o AgingFly de malwares similares é a ausência de manipuladores de comando embutidos no código. Em vez de já vir com funcionalidades fixas, o malware recebe o código-fonte dos comandos diretamente do servidor C2 e os compila dinamicamente em tempo de execução no próprio sistema da vítima. Exemplo de e-mail de phishing usado pelo UAC-0247, com o código malicioso do arquivo HTA exposto ao lado; a isca imita comunicado oficial sobre restrições de internet móvel na Ucrânia. Imagem: CERT-UA. Isso porque a abordagem permite uma carga inicial menor, facilita a atualização de funcionalidades sob demanda e dificulta a detecção por análise estática, que examina o arquivo sem executá-lo. A contrapartida é maior complexidade operacional, dependência da conectividade com o C2 e maior consumo de memória durante a execução, o que paradoxalmente aumenta o risco de detecção comportamental. O CERT-UA recomenda bloquear a execução de arquivos com as extensões LNK, HTA e JS como medida para interromper a cadeia de ataque dessa campanha. Acompanhe o TecMundo nas redes sociais. Para mais notícias de segurança e tecnologia, inscreva-se em nossa newsletter e canal do YouTube.

A new C# malware family called AgingFly has been used in Ukraine against local governments and hospitals to steal authentication data from Chromium-based browsers and the WhatsApp Windows client. CERT-UA attributes the campaign to UAC-0247 and describes a complex LNK→HTA→scheduled-task attack chain that stages payloads, uses open-source tools like ChromElevator and ZAPiDESK to exfiltrate credentials, and dynamically compiles command handlers received from a C2 server. #AgingFly #CERT-UA

Ukrainian cyber defenders warned of an intensified campaign by threat cluster UAC-0247 targeting hospitals, emergency services, municipal bodies, and defense-linked users with phishing lures disguised as humanitarian aid. Attackers deploy multi-stage loaders, custom executable formats and backdoors like AGINGFLY—alongside tools such as SILENTLOOP and RAVENSHELL—to gain persistent remote control, steal credentials,...

Daryna Antoniuk reports: Hackers have targeted Ukrainian hospitals and local government bodies in a new espionage campaign using a malware tool dubbed AgingFly, researchers say. Ukraine’s computer emergency response team (CERT-UA) said the activity was carried out by a group tracked as UAC-0247, which launched multiple attacks over the past two months against municipal authorities, clinical hospitals... Source

Authorities take down W3LL phishing ring, AgingFly malware steals Ukrainian government data, and actors exploit Nginx flaw to hijack servers.

A new malware family named 'AgingFly' has been identified in attacks against local governments and hospitals that steal authentication data from Chromium-based browsers and WhatsApp messenger.

CERT-UA зафіксувала нову хвилю цілеспрямованих кібератак — під загрозою опинилися комунальні лікарні, органи місцевого самоврядування та оператори FPV-дронів

A new malware family named 'AgingFly' has been identified in attacks against local governments and hospitals that steal authentication data from Chromium-based browsers and WhatsApp messenger. [...]

Ukrainian emergency services and hospitals hit by espionage campaign using new AgingFly malware

New AgingFly malware used in attacks on Ukraine govt, hospitals

Introduction A new cyber espionage campaign has been uncovered by Ukraine’s national cyber defense authority CERT-UA, revealing a highly sophisticated malware operation targeting government institutions, healthcare organizations, and potentially elements linked to the Defense Forces. The attack cluster, identified as UAC-0247, introduces a new malware family called AgingFly. This campaign demonstrates an evolving blend of phishing tactics, browser data theft, remote access tooling, and modular malware design.

Introduction: Between March and April 2026, Ukraine's Computer Emergency Response Team (CERT-UA) uncovered a surge in attacks by a sophisticated threat cluster known as UAC-0247. These campaigns have severely impacted municipal governments and healthcare institutions, with a primary focus on clinical and emergency hospitals. The attackers deploy a novel malware family, AgingFly, which uses a unique runtime-compilation technique to harvest authentication data from Chromium-based browsers and the Windows version of WhatsApp.

Introduction: Ukraine’s CERT-UA has issued an urgent warning about a new wave of cyberattacks targeting hospitals and government agencies. The campaign uses malicious LNK shortcut files delivered via phishing emails to trigger an infection chain that deploys two distinct payloads: AGINGFLY, a browser and WhatsApp data stealer, and RAVENSHELL, a full-featured remote access trojan enabling credential theft and lateral movement.

A new malware family named 'AgingFly' has been identified in attacks against local governments and hospitals that steal authentication data from Chromium-based browsers and WhatsApp messenger.

A new malware family named 'AgingFly' has been identified in attacks against local governments and hospitals that steal authentication data from Chromium-based browsers and WhatsApp messenger.

Groups Conversations All groups and messages Sign in     New AgingFly malware used in attacks on Ukraine govt, hospitals 0 views Eyal Estrin unread, 1:22 PM (30 minutes ago)    to https://www.bleepingcomputer.com/news/security/new-agingfly-malware-used-in-attacks-on-ukraine-govt-hospitals/ Eyal Estrin Author | Cloud Architect | AWS • Azure • GCP Insights Social: @eyalestrin Connect: https://linktr.ee/eyalestrin Blog: https://security-24-7.com Reply all Reply to author Forward

A new malware family named 'AgingFly' has been identified in attacks against local governments and hospitals that steal authentication data from Chromium-based browsers and WhatsApp messenger.

研究者らによると、ハッカーがAgingFlyと呼ばれるマルウェアツールを使用した新しいスパイ行為キャンペーンで、ウクライナの病院と地方自治体を標的にしています。ウクライナのコンピュータ緊急対応チーム（CERT-UA）によると、この活動はUAC-0247として追跡されているグループによって実行され、過去2か月間に地方自治

'AgingFly'という新しいマルウェアファミリーが、Chromiumベースのブラウザとwhatsappメッセンジャーから認証データを盗む、地方自治体と病院への攻撃で発見されました。 これらの攻撃は先月ウクライナでそこのCERTチームによって検出されました。法医学的証拠に基づくと、ターゲットには国防軍の代表者も含

A new malware family named 'AgingFly' has been identified in attacks against local governments and hospitals that steal authentication data from Chromium-based browsers and WhatsApp messenger.