JS/Bondat

01Sumário executivo

Este relatório perfila o JS/Bondat, uma família de worm escrita em JavaScript e executada pelo Windows Script Host (WSH), o interpretador de scripts nativo do Windows. A Microsoft publicou a primeira descrição da família em 3 de abril de 2013 [1], e a empresa chinesa 360 Total Security a descreve como uma ameaça gerenciada por console remoto, com origem no mesmo ano [2]. A família ainda produz amostras: uma submissão a sandbox pública de abril de 2020 mostra o worm completo, em execução e se comunicando com infraestrutura já conhecida desde 2018 [2] [3].

A infecção se espalha por mídia removível. O worm esconde as pastas e os arquivos do pendrive, cria atalhos com os mesmos nomes e ícones, e cada atalho executa o worm antes de abrir o conteúdo original [1] [2]. Instalado, ele grava uma cópia na pasta do usuário, cria persistência na pasta de inicialização, desliga ferramentas de segurança e de análise, e envia dados do computador a um servidor por HTTP [1] [3].

Avaliamos a severidade como média. O grau técnico é baixo e o dano direto de cada infecção é limitado. O que impede uma classificação menor é a persistência, a dificuldade de o usuário limpar o computador sozinho, e sobretudo o canal de comando que permitiu entregar mineração de Monero e uma botnet de força bruta contra WordPress sobre a mesma base infectada [2].

As recomendações estão em duas frentes. A seção 08 trata de caça, porque o worm se esconde atrás de uma cópia renomeada de um programa legítimo do Windows. A seção 09 trata de contenção, recuperação dos arquivos do pendrive e prevenção estrutural. A recuperação merece atenção própria, pois os arquivos do usuário não foram apagados, e formatar a mídia às pressas destrói justamente o que ainda é recuperável.

02Identificação do objeto analisado

Cada fornecedor dá um nome diferente à mesma família. Isso importa na caça, porque a consulta a um índice de ameaças com o nome errado devolve vazio [1] [4] [5]:

03Contexto técnico: script, atalho e mídia removível

Três mecanismos legítimos do Windows sustentam o Bondat, e nenhum deles é uma falha de software.

Windows Script Host

O wscript.exe executa arquivos .js, .jse, .vbs e .vbe com os privilégios do usuário, sem exigir instalação. Um worm escrito nesse formato é um arquivo de texto, o que dispensa compilação e dificulta a assinatura simples por hash, porque cada variante pode ser reescrita e ofuscada [2].

Atalho LNK

Um arquivo .lnk guarda o destino que o Windows deve abrir, um ícone e um argumento. Como o ícone é escolhido por quem cria o atalho, é possível fazer um atalho parecer uma pasta ou um documento. O Bondat usa isso para que a vítima inicie o worm achando que abre os próprios arquivos [1] [2].

Atributos de ocultação

Arquivos marcados como ocultos deixam de aparecer no Explorer, e o worm ainda altera a configuração do usuário para que arquivos ocultos permaneçam invisíveis mesmo que ele tente exibi-los [1].

04Linhagem e variantes

4.1Linha do tempo

Os marcos abaixo vêm das fontes citadas. As datas de 2013 e 2017 são as da página da Microsoft, e não da primeira captura de uma amostra [1]:

4.2Diferenças entre as variantes documentadas

As fontes descrevem variantes que não coincidem em tudo. Não presuma que os artefatos de uma delas existam nas demais [1] [2] [3] [4]:

05Cadeia de infecção e instalação

5.1Instalação no computador

Na variante descrita pela Microsoft, o worm executa estes passos ao ser aberto [1]:

• copia-se como arquivo .js de nome aleatório para uma pasta de nome aleatório em %USERPROFILE%, com nomes derivados do nome do computador, por exemplo %USERPROFILE%\badce\tvuwyx.js;
• altera as permissões da pasta e dos arquivos para que o grupo Users tenha controle total;
• cria cinco cópias do wscript.exe na mesma pasta, com nomes montados por combinação de prefixos (amd, disk, ms, win), meios (host, update, proc) e sufixos (32, 64), como dllupdate64.exe e winprocess32.exe;
• grava na pasta de inicialização o atalho Windows Explorer.lnk, com ícone de pasta, que executa uma dessas cópias de wscript.exe contra o .js;
• apaga arquivos .js, .jse, .vbe e .vbs da pasta onde soltou o atalho.

A sandbox ANY.RUN confirma o padrão geral em uma variante de 2020: o wscript.exe legítimo inicia o Bondat.js a partir da pasta temporária, o worm se copia como qslqm.js em AppData\Roaming\skujmyc, solta um executável de nome aleatório dqidfih.exe e um Start.lnk na inicialização, e chama cmd.exe e cacls.exe repetidas vezes para ajustar permissões [3]. Que o executável aleatório seja uma cópia renomeada do wscript.exe, como na descrição da Microsoft, é uma inferência desta equipe e não consta na página da sandbox.

5.2Propagação para mídia removível

O worm cria a pasta oculta <unidade>:\.Trashes e grava nela uma subpasta numerada com uma cópia de si mesmo, por exemplo E:\.Trashes\586\tvuwyx.js [1]. As pastas existentes na unidade são movidas para dentro de .Trashes e substituídas por atalhos com aparência de pasta. Abrir o atalho executa o worm e, em seguida, abre a pasta movida, para que nada pareça errado [1].

Os arquivos com as extensões abaixo também são movidos para .Trashes e substituídos por atalhos .lnk [1]:

Na descrição de 2018, os atalhos apontam para o lançador drive.bat e são criados para arquivos de tipos como doc e jpg, com os originais ocultos [2]. Outra variante grava na raiz de cada unidade removível uma cópia .jse cujo nome termina em .JPG seguido de espaços e da extensão real, de modo que a extensão final fique fora da área visível do Explorer [4].

5.3Evasão e interferência em ferramentas

O worm usa consultas WMI (Windows Management Instrumentation) para localizar e encerrar processos associados a segurança e a análise, em lista de cerca de quarenta nomes. Os exemplos citados pela Microsoft cobrem antivírus (avast, avg, mbam), monitoramento (procmon, procexp, tcpview, wireshark) e administração (regedit, msconfig, hijackthis, gmer) [1]. Se um desses processos estiver rodando de fora de um caminho que contenha "Windows" ou "Program", o worm exibe a mensagem "exception that could not be handled", que faz parecer que a própria ferramenta travou [1] [2].

A Microsoft também registra verificação de sandbox e de máquina virtual, com interrupção da execução caso uma seja detectada [1]. O script é ofuscado, o que desorienta o antivírus e aumenta o trabalho do analista [2]. No registro do usuário, em HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced, o worm define Hidden como 2 e ShowSuperHidden como 0, o que mantém ocultos os arquivos que ele esconde [1]. A sandbox ANY.RUN registra a mesma alteração [3].

06Comando e controle e coleta de dados

A Microsoft descreve uma coleta inicial de dados do computador, enviada ao servidor por HTTP POST. Os dados são cifrados com RC4 e um codificador próprio antes do envio [1].

Os destinos que a Microsoft relata para essa coleta incluem os endereços 109.95.211.244, 148.251.192.195, 217.23.3.136, 91.200.85.69 e 91.200.85.79, e nove domínios listados na seção 10 [1]. Na sandbox de 2020, o worm enviou requisições POST a urchintelemetry.com (204.11.56.48) e a 95.153.31.18, ambos marcados como maliciosos, e uma requisição GET para www.microsoft.com, provável teste de conectividade [3].

A 360 Total Security descreve o Bondat como "gerenciado de forma central", executando instruções vindas do console do operador [2]. Esse é o ponto que separa o worm de um simples vírus de pendrive: a carga não está fixa no script, e sim no servidor.

07Cargas úteis entregues pelo servidor

Os registros públicos mostram três usos do canal de comando, em épocas diferentes. A fonte primária das duas últimas é a 360 Total Security [2], e a primeira é a Trend Micro [4].

7.1Troca da página inicial do navegador

As variantes mais antigas monetizavam a infecção alterando a página inicial dos navegadores das vítimas [2]. A variante Worm.JS.BONDAT.CC altera a página inicial do Internet Explorer para um endereço de busca com a expressão fiverdolly 31195, onde o último número coincide com o tamanho do arquivo em bytes. O domínio de destino está parcialmente ocultado na página do fornecedor [4].

7.2Mineração de Monero no navegador

No surto de março de 2018, o worm abriu uma janela de navegador invisível apontada para hxxps[://]xmrmsft[.]com/hive.html, página que embute um script de mineração baseado no Coinhive [2]. A 360 destaca a diferença para um minerador comum: nada é instalado em disco, o ganho por máquina é menor e a atividade é mais difícil de notar. O NHS England Digital, em alerta de 2018, descreve o mesmo comportamento [5].

7.3Botnet de força bruta contra WordPress

Em 13 de abril de 2018, logo após o surto, o servidor entregou aos computadores infectados um programa para atacar sites WordPress. O fluxo descrito é este [2]:

• um script PowerShell baixa o programa de hxxp[://]5[.]8[.]52[.]136/setup.php;
• o programa tenta entrar em sites WordPress com a conta admin e senhas fracas;
• cada sucesso, com endereço do site, conta e senha, é enviado a hxxp[://]5[.]8[.]52[.]136/put.php;
• um ciclo documentado teve como alvo sites cujo nome começava com a letra "j";
• o programa baixa um ambiente PHP completo de hxxp[://]5[.]8[.]52[.]136/php.zip e gera um backdoor em PHP, que também serve para continuar a força bruta.

A 360 relata ainda que o worm encerra processos de antivírus e mostra um erro falso de aplicativo, para que o usuário atribua a queda à própria ferramenta [2]. A mesma fonte afirma que o formato de script do backdoor ajuda a escapar da detecção, afirmação que esta equipe não verificou.

08Detecção

A caça vai do mais barato e abrangente para o mais caro e específico. As duas primeiras vias não exigem acesso ao computador suspeito.

8.1Rede: DNS, proxy e firewall

Procure conexões de estações de trabalho para os domínios e endereços da seção 10. O padrão característico é HTTP POST sem navegador legítimo por trás, com destino a endereço IP fixo ou a domínio de nome genérico de telemetria [1] [3].

let dominios = dynamic(["bellsyscdn.com","urchintelemetry.com","cdn.httpowered.com",
  "conectar.gma-telecom.com","jtvcdn.com","mail.futbolglobo.net",
  "static.myquickweb.net","www.webhebio.com","www2.httpoptions.com",
  "www2.mshttpconnect.com","ytvidstream.com","xmrmsft.com"]);
let ips = dynamic(["95.153.31.18","95.153.31.22","5.8.52.136","204.11.56.48",
  "109.95.211.244","148.251.192.195","217.23.3.136","91.200.85.69","91.200.85.79"]);
DeviceNetworkEvents
| where RemoteIP in (ips) or RemoteUrl has_any (dominios)
| summarize Eventos=count(), Primeiro=min(Timestamp), Ultimo=max(Timestamp)
    by DeviceName, InitiatingProcessFileName, RemoteIP, RemoteUrl
| order by Eventos desc

8.2Processo: wscript.exe fora do lugar

A regra abaixo apoia-se na observação da seção 5.1: a cópia renomeada preserva o nome original do executável gravado nos metadados. Ela serve para qualquer renomeação de wscript.exe, e por isso também alerta sobre outras famílias que usem a mesma técnica.

title: Copia de wscript.exe executando fora de System32
id: 7c3a91e4-2b58-4d06-a1f7-5e90d3c8b412
status: experimental
description: >
  O Bondat grava copias renomeadas de wscript.exe em pasta do usuario
  (por exemplo dllupdate64.exe) e as usa para rodar o proprio script.
  Um processo cujo nome original e wscript.exe, mas que roda fora dos
  diretorios do sistema, merece triagem.
references:
  - https://www.microsoft.com/en-us/wdsi/threats/malware-encyclopedia-description?Name=Worm%3AJS%2FBondat
author: CiberLab, Ciencia Embarcada
date: 2026/10/15
tags:
  - attack.defense-evasion
  - attack.t1036.003
logsource:
  category: process_creation
  product: windows
detection:
  selecao:
    OriginalFileName: 'wscript.exe'
  legitimo:
    Image|endswith:
      - '\System32\wscript.exe'
      - '\SysWOW64\wscript.exe'
  condition: selecao and not legitimo
falsepositives:
  - Copia portatil de wscript.exe usada por ferramenta de administracao
level: high

8.3Arquivos: persistência e pasta de mídia

title: Atalho suspeito na inicializacao ou script dentro de .Trashes
id: b5e208d9-6f14-47a3-8c2e-9a1d4f7e0c63
status: experimental
description: >
  O Bondat grava um atalho na pasta de inicializacao (Windows Explorer.lnk
  ou Start.lnk, conforme a variante) e esconde copias de si mesmo em pasta
  .Trashes numerada na raiz de unidades removiveis.
references:
  - https://www.microsoft.com/en-us/wdsi/threats/malware-encyclopedia-description?Name=Worm%3AJS%2FBondat
  - https://any.run/report/af0da1a9b2b669f6b51cbbcd3c5dd2a0000de0af84b3de79e4094980d63b8cd5/fc8b93f1-f11a-4d6c-bf08-fb25104439ce
author: CiberLab, Ciencia Embarcada
date: 2026/10/15
tags:
  - attack.persistence
  - attack.t1547.001
logsource:
  category: file_event
  product: windows
detection:
  inicializacao:
    TargetFilename|contains: '\Start Menu\Programs\Startup\'
    TargetFilename|endswith:
      - '\Windows Explorer.lnk'
      - '\Start.lnk'
  trashes:
    TargetFilename|contains: '\.Trashes\'
    TargetFilename|endswith: '.js'
  condition: inicializacao or trashes
falsepositives:
  - Aplicativo legitimo que grave atalho chamado Start.lnk na inicializacao
level: medium

8.4Inspeção de mídia removível

Em um computador de triagem, nunca no que será usado para o trabalho diário, liste o conteúdo oculto de cada unidade sem abrir nenhum atalho. Uma pasta .Trashes na raiz de uma unidade Windows já é motivo de suspeita, porque esse nome vem de outro sistema operacional e não é criado pelo Windows.

# lista, sem abrir nada, o conteudo escondido de pastas .Trashes
Get-PSDrive -PSProvider FileSystem | ForEach-Object {
  $p = Join-Path $_.Root '.Trashes'
  if (Test-Path -LiteralPath $p) {
    Get-ChildItem -LiteralPath $p -Force -Recurse -ErrorAction SilentlyContinue |
      Select-Object FullName, Length, Attributes
  }
}

# confere os valores de ocultacao alterados pelo worm
Get-ItemProperty 'HKCU:\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced' |
  Select-Object Hidden, ShowSuperHidden

09Mitigação e resposta

9.1Contenção imediata

• Retire o pendrive e não abra nenhum atalho dele. Cada atalho executa o worm antes de abrir o conteúdo [1] [2].
• Isole da rede o computador onde a mídia foi aberta, porque ele pode estar enviando dados e atacando sites de terceiros [2].
• Bloqueie na saída os domínios e endereços da seção 10 e busque retroativamente conexões passadas para eles.
• Confirme se o Microsoft Defender detecta a família nas estações, e acione a verificação completa em vez da rápida [1].

9.2Erradicação no computador

• Execute uma verificação completa com Microsoft Defender Antivirus, Microsoft Safety Scanner ou produto equivalente, a partir de um ponto confiável [1] [4].
• Remova o atalho da pasta de inicialização, a pasta de instalação do worm e as cópias de wscript.exe que estiverem fora do sistema.
• Restaure os valores de ocultação do Explorer e, se a variante for a de página inicial, redefina a página inicial do navegador [1] [4].
• Em Windows 7 ou superior, a Trend Micro orienta desativar a Restauração do Sistema antes da verificação, para que o ponto de restauração não reintroduza o arquivo [4].

9.3Recuperação dos arquivos do pendrive

A partir de um computador limpo e sem abrir nenhum atalho, copie o conteúdo de .Trashes para outro local, deixando para trás scripts e atalhos. Depois disso, formate a mídia:

:: F: e a unidade infectada; D:\recuperado e uma pasta num disco confiavel
dir /a F:\.Trashes
robocopy F:\.Trashes D:\recuperado /E /XF *.js *.jse *.lnk *.bat

9.4Prevenção estrutural

9.5Para quem administra sites WordPress

A botnet da seção 7.3 testa a conta admin com senhas fracas [2]. Renomeie ou remova a conta admin, exija senha forte e autenticação em dois fatores para administradores, limite as tentativas de login por endereço, e revise os usuários administrativos criados sem explicação.

9.6Mapeamento MITRE ATT&CK

As técnicas abaixo foram conferidas uma a uma em attack.mitre.org, e os nomes reproduzem o oficial de cada página [6]. A primeira tabela cobre do acesso à persistência e à evasão:

A segunda tabela cobre descoberta, comando e controle e impacto:

10Indicadores de comprometimento

Todos os indicadores abaixo vêm das fontes citadas, porque não houve análise local. Domínios, endereços e URLs aparecem desarmados de propósito e não devem ser transformados em link clicável. Primeiro estão os que vieram de análise de sandbox ou de fornecedor sobre amostras, depois os que vieram de relato de campanha.

10.1Rede

10.2Artefatos em disco, memória e registro

10.3Hashes da amostra analisada na sandbox

11Limitações da análise

• Não houve detonação nem análise de amostra. Esta equipe não obteve nenhum arquivo do Bondat. Todo o conteúdo técnico vem das referências, e nenhuma afirmação aqui equivale a observação própria.
• A consulta KQL, as regras Sigma e o procedimento de listagem das seções 8.1 a 8.4 e 9.3 são derivados, não validados. Foram escritos a partir do comportamento descrito nas fontes, sem execução do worm e sem teste contra tráfego real. A regra de OriginalFileName pressupõe que a cópia renomeada preserve os metadados do wscript.exe, o que é coerente com uma cópia byte a byte, mas não foi confirmado por nenhuma fonte.
• As fontes cobrem variantes diferentes, de 2013 a 2020. A comparação da seção 4.2 mostra que nem todo artefato aparece em todas as variantes, e que as fontes não se complementam por completo. Não há análise de variante posterior a abril de 2020, e a atividade atual da família é desconhecida.
• Os dados de volume vêm de uma única fonte. A cifra de 15.000 computadores é estimativa da 360 Total Security feita pelo rastreio dos domínios de C2 [2], e não pôde ser confrontada com outra fonte.
• A fonte da 360 contém uma inconsistência interna. A legenda de uma figura cita mineração de "Loran Coin", enquanto o texto descreve Monero [2]. Este relatório adota o texto, e a divergência não foi resolvida.
• A lista de senhas e o código do backdoor PHP da botnet aparecem na fonte apenas em imagens, sem transcrição no texto [2], e por isso não constam deste relatório.
• Os hashes da seção 10.3 vêm de uma única submissão a sandbox e não foram conferidos em outro índice. A busca por esses valores em mecanismos abertos não devolveu resultado, o que não prova que sejam inéditos.
• O alerta do NHS England Digital [5] não pôde ser lido diretamente, porque o servidor devolveu erro 403 ao acesso automatizado. Sua descrição foi usada apenas por meio do resumo de busca, para corroborar o comportamento descrito pela 360, e nenhum dado exclusivo dele sustenta este relatório.
• As páginas da Trend Micro [4] [7] não trazem hashes nem infraestrutura de rede, e a da Microsoft [1] também não traz hashes. Os indicadores de rede da Microsoft são os "reportados", sem data de observação.
• O identificador MITRE do encerramento de ferramentas de segurança não foi conferido e foi omitido, conforme a nota da seção 9.6.
• Nenhuma vítima brasileira foi citada pelas fontes. Isso não é evidência de ausência, apenas ausência de evidência na amostra consultada. O risco para o Brasil decorre do uso comum de pendrives, e não de dado de campanha.
• Não há atribuição. As fontes não nomeiam operador, grupo ou país, e este relatório não propõe nenhum.