Ciberespionagem

O grupo de ciberespionagem GREYVIBE, atribuído a atores de língua russa, tem realizado ataques persistentes contra a Ucrânia e entidades relacionadas desde agosto de 2025. De acordo com a WithSecure, a atividade do grupo está alinhada com os interesses do Estado russo, especialmente no contexto da guerra em curso entre Rússia e Ucrânia. GREYVIBE utiliza uma variedade de vetores de ataque, incluindo e-mails de spear-phishing, páginas falsas de captcha e sites fraudulentos de clubes adultos ucranianos para disseminar malware. Os alvos incluem organizações militares, governamentais e civis. O grupo também se destaca por utilizar inteligência artificial generativa para aprimorar suas operações, o que indica um nível de sofisticação moderado, embora com falhas de segurança operacional. As campanhas observadas incluem o uso de ferramentas como PhantomMail e PhantomRelay, que permitem acesso remoto e coleta de dados sensíveis. A conexão do GREYVIBE com o ecossistema de cibercrime russo sugere que seus membros podem ser ex-cibercriminosos, complicando a atribuição de suas atividades. A utilização de IA, embora traga vantagens, também introduziu falhas no design do malware, indicando que o grupo pode não ser totalmente estatal. Essa situação representa um desafio significativo para a segurança cibernética, especialmente para países como o Brasil, que podem ser afetados por táticas semelhantes.

Um novo grupo de ciberespionagem, identificado como TGR-STA-1030, comprometeu redes de pelo menos 70 organizações governamentais e de infraestrutura crítica em 37 países ao longo do último ano, conforme relatado pela Palo Alto Networks. O grupo, que parece operar a partir da Ásia, tem se concentrado em entidades como ministérios de finanças e agências de controle de fronteiras. Entre novembro e dezembro de 2025, foram realizadas atividades de reconhecimento ativo contra infraestruturas governamentais em 155 países.

Um novo ataque cibernético, denominado RedKitten, foi identificado como uma campanha de ciberespionagem atribuída a um ator de ameaça que fala farsi e está alinhado aos interesses do estado iraniano. O ataque visa organizações não governamentais e indivíduos que documentam abusos de direitos humanos no Irã, especialmente em meio a protestos contra a inflação e a desvalorização da moeda. O malware utilizado neste ataque se aproveita de arquivos do Microsoft Excel com macros maliciosas, que, ao serem ativadas, instalam um backdoor chamado SloppyMIO. Este backdoor utiliza GitHub e Google Drive para obter suas configurações e módulos, além de se comunicar via Telegram. A análise sugere que o código VBA malicioso pode ter sido gerado por modelos de linguagem de inteligência artificial, o que representa uma nova tendência nas táticas de ataque. A campanha também explora a vulnerabilidade emocional das vítimas, que buscam informações sobre pessoas desaparecidas, utilizando dados falsificados para enganar os alvos. Este incidente destaca a crescente complexidade das ameaças cibernéticas, especialmente com a utilização de ferramentas de IA, dificultando a identificação de atores maliciosos.