Apt

Um novo grupo de ameaças persistentes avançadas (APT) alinhado ao Estado chinês, denominado Phantom Taurus, foi identificado após três anos de monitoramento pela Palo Alto Networks. Este grupo tem como alvo principal entidades governamentais e provedores de telecomunicações na África, Oriente Médio e Ásia, e está vinculado a operações de espionagem de longo prazo que apoiam os interesses geopolíticos da República Popular da China.

O Phantom Taurus se destaca por sua combinação de técnicas de infiltração discretas e malware personalizado. Em 2025, o grupo alterou suas táticas, passando de ataques de exfiltração de e-mails para o direcionamento direto de bancos de dados sensíveis. O núcleo de suas operações é a suíte de malware NET-STAR, que inclui backdoors projetados para infectar servidores web Microsoft IIS. O malware utiliza técnicas avançadas de evasão e execução sem arquivos, dificultando a detecção por defesas tradicionais.

O grupo de ameaças persistentes avançadas (APT) russo conhecido como COLDRIVER, também chamado de Callisto, Star Blizzard e UNC4057, está por trás de uma nova onda de ataques do tipo ClickFix, que visa entregar duas novas famílias de malware, BAITSWITCH e SIMPLEFIX. Detectada pelo Zscaler ThreatLabz, a campanha multiestágio utiliza BAITSWITCH como um downloader que, por sua vez, instala o backdoor PowerShell SIMPLEFIX. Os ataques têm como alvo uma variedade de setores, especialmente organizações não governamentais e defensores dos direitos humanos, refletindo a estratégia do grupo de focar em membros da sociedade civil conectados à Rússia. A técnica ClickFix, que envolve enganar usuários para executar comandos maliciosos sob a aparência de completar verificações CAPTCHA, continua a ser uma via de infecção eficaz. Além disso, a Kaspersky relatou uma nova campanha de phishing focada em empresas russas, realizada pelo grupo BO Team, que utiliza arquivos RAR protegidos por senha para distribuir backdoors. Outro grupo, Bearlyfy, tem se destacado por ataques de ransomware, inicialmente visando pequenas empresas antes de escalar para alvos maiores. Esses desenvolvimentos ressaltam a crescente sofisticação e a diversidade das ameaças cibernéticas direcionadas à Rússia e seus aliados.

Em setembro de 2025, o Zscaler ThreatLabz revelou uma campanha sofisticada do grupo APT COLDRIVER, vinculado à Rússia, que utiliza a técnica de engenharia social ClickFix. Tradicionalmente focado em phishing de credenciais, o grupo agora mira ONGs, jornalistas e defensores dos direitos humanos. A campanha começa com um site malicioso que imita um recurso informativo e induz a vítima a executar um comando malicioso que baixa o backdoor BAITSWITCH. Este backdoor estabelece persistência e se comunica com um servidor de comando e controle (C2) para baixar um segundo payload, o backdoor SIMPLEFIX. O SIMPLEFIX opera em um ciclo de três minutos, permitindo que os atacantes executem comandos e exfiltrarem dados. A campanha destaca a eficácia de vetores de ataque simples e a necessidade de controles de acesso rigorosos e soluções de segurança como o Windows AppLocker. O Zscaler classifica o BAITSWITCH como Win64.Downloader.BAITSWITCH e o SIMPLEFIX como PS.Backdoor.SIMPLEFIX, oferecendo cobertura contra essa ameaça em evolução.

Um grupo de ameaça persistente avançada (APT) da China foi responsabilizado pelo comprometimento de uma empresa militar nas Filipinas, utilizando um malware fileless inédito chamado EggStreme. Segundo a pesquisa da Bitdefender, o EggStreme é uma ferramenta multifásica que permite espionagem discreta, injetando código malicioso diretamente na memória e utilizando técnicas de DLL sideloading para executar cargas úteis. O componente central, EggStremeAgent, atua como um backdoor completo, permitindo reconhecimento extensivo do sistema, movimentação lateral e roubo de dados através de um keylogger.

O grupo APT DarkSamurai, associado ao Patchwork, tem realizado uma campanha de ataques cibernéticos direcionados a instituições estratégicas no Paquistão. Utilizando arquivos MSC disfarçados como PDFs, os atacantes implantaram trojans de acesso remoto (RATs) para infiltrar redes e exfiltrar dados sensíveis. A operação começa com e-mails de spear-phishing que imitam entidades governamentais, levando as vítimas a abrir um arquivo malicioso que ativa um controle ActiveX. Este controle executa um script JScript que busca um payload JavaScript ofuscado, resultando na instalação de um RAT personalizado. O ataque é caracterizado por técnicas de evasão de detecção, como a polimorfia do script e o uso de tarefas agendadas para manter a persistência. A análise do payload final revelou um RAT chamado Mythic, que se comunica com um servidor de comando e controle usando criptografia AES-256-HMAC. A operação DarkSamurai é, na verdade, uma manobra de falsa bandeira para desviar a atenção das atividades do Patchwork, que tem um histórico de ataques a organizações militares e diplomáticas na Ásia do Sul. Este caso destaca a necessidade de uma investigação rigorosa e atribuição de ameaças para proteger infraestruturas críticas contra espionagem patrocinada por estados.

O grupo de ameaças persistentes avançadas (APT) conhecido como Salt Typhoon, vinculado à China, tem intensificado seus ataques a redes em todo o mundo, incluindo setores críticos como telecomunicações, governo, transporte, hospedagem e infraestrutura militar. Segundo um alerta conjunto de autoridades de 13 países, o grupo tem como alvo roteadores de grandes provedores de telecomunicações, utilizando dispositivos comprometidos para acessar outras redes. As atividades maliciosas estão associadas a três empresas chinesas que fornecem produtos e serviços cibernéticos para os serviços de inteligência da China. Desde 2019, o Salt Typhoon tem se envolvido em uma campanha de espionagem, visando violar normas de privacidade e segurança global. Recentemente, o grupo ampliou seu foco para outros setores, atacando mais de 600 organizações em 80 países, incluindo 200 nos Estados Unidos. Os atacantes exploram vulnerabilidades em dispositivos de rede, como roteadores da Cisco e Ivanti, para obter acesso inicial e manter controle persistente sobre as redes. O uso de protocolos de autenticação, como TACACS+, permite que os invasores se movam lateralmente dentro das redes comprometidas, capturando dados sensíveis e credenciais. A familiaridade do grupo com sistemas de telecomunicações proporciona uma vantagem significativa na evasão de defesas.

Em agosto de 2025, a NSA, CISA e FBI, em conjunto com parceiros internacionais, emitiram um alerta sobre uma campanha de comprometimento de redes patrocinada pelo Estado Chinês, envolvendo atores de Ameaça Persistente Avançada (APT). O guia detalha as táticas, técnicas e procedimentos (TTPs) utilizados para infiltrar redes de telecomunicações, governo, transporte e hospedagem em todo o mundo. Os atacantes exploram vulnerabilidades conhecidas, especialmente em roteadores e dispositivos de borda, utilizando exploits de alta gravidade, como os CVEs que afetam fornecedores como Cisco e Palo Alto Networks. Após a invasão, os atacantes alteram configurações de dispositivos para manter acesso persistente e evitar detecção. O guia recomenda ações como auditoria de tabelas de roteamento, monitoramento de portas de gerenciamento não padrão e isolamento do plano de gerenciamento. A importância da caça a ameaças e resposta rápida a incidentes é enfatizada, com um apelo para que as organizações relatem detalhes de compromissos para melhorar a compreensão coletiva e facilitar a mitigação.

O grupo de ameaças persistentes avançadas (APT) conhecido como Transparent Tribe, também chamado de APT36, tem direcionado ataques a sistemas Windows e Linux BOSS (Bharat Operating System Solutions) de entidades governamentais indianas. Os ataques são iniciados por meio de e-mails de spear-phishing que contêm arquivos de atalho de desktop maliciosos. Esses arquivos, disfarçados como documentos PDF, ao serem abertos, baixam e executam cargas maliciosas. O malware, que se comunica com um servidor de comando e controle, permite acesso remoto e coleta de dados. Além disso, o malware estabelece persistência através de um cron job, garantindo que a carga maliciosa seja executada automaticamente após reinicializações do sistema. A campanha também visa roubar credenciais e códigos de autenticação de dois fatores (2FA) de usuários, utilizando páginas falsas que imitam comunicações oficiais. A sofisticação do grupo, que adapta suas táticas conforme o ambiente da vítima, aumenta suas chances de sucesso e a dificuldade de detecção por controles de segurança tradicionais. Os ataques recentes têm como alvo organizações de defesa e entidades governamentais, utilizando domínios falsificados para enganar os usuários.

Um grupo avançado de ameaças persistentes (APT) sul-asiático está realizando uma campanha de espionagem direcionada a indivíduos ligados a forças militares em países como Sri Lanka, Bangladesh, Paquistão e Turquia. A operação combina técnicas tradicionais de phishing com a implantação de malware móvel, comprometendo smartphones de pessoas próximas ao setor militar e extraindo comunicações sensíveis, listas de contatos e documentos operacionais. Os atacantes utilizaram documentos PDF com temas militares como vetores de acesso inicial, redirecionando as vítimas para uma infraestrutura sofisticada de domínios de phishing. Mais de 40 domínios falsos foram identificados, imitando organizações de defesa da região. O componente móvel da APT é centrado em uma versão modificada do Rafel RAT, disfarçada como aplicativos legítimos, que solicita permissões extensivas para comprometer completamente os dispositivos. A análise dos dados comprometidos revelou uma coleta de inteligência significativa, incluindo mensagens SMS e documentos operacionais, com a maioria das vítimas localizadas no Sul da Ásia, especialmente em Bangladesh e Paquistão. A persistência e sofisticação da campanha indicam que se trata de um ator estatal ou próximo a um estado, realizando operações estratégicas de coleta de inteligência no setor de defesa sul-asiático.

Um ator de ameaça persistente avançada (APT) de língua chinesa, identificado como UAT-7237, tem atacado entidades de infraestrutura web em Taiwan desde 2022, utilizando ferramentas de código aberto personalizadas para garantir acesso prolongado a ambientes de alto valor. A Cisco Talos atribui a atividade a este grupo, que é considerado um subgrupo de UAT-5918, conhecido por atacar infraestrutura crítica desde 2023. Os ataques se caracterizam pelo uso de um carregador de shellcode chamado SoundBill, que decodifica e lança cargas secundárias como o Cobalt Strike. Diferente de UAT-5918, que rapidamente implanta web shells, UAT-7237 utiliza o cliente VPN SoftEther para manter o acesso e posteriormente acessa os sistemas via RDP. Os atacantes exploram falhas de segurança conhecidas em servidores desatualizados, realizando reconhecimento inicial para determinar o valor do alvo. Além disso, ferramentas como JuicyPotato e Mimikatz são usadas para escalonamento de privilégios e extração de credenciais. A configuração do cliente VPN revela que os operadores são proficientes em chinês simplificado, indicando uma possível origem geográfica. Este cenário destaca a necessidade de vigilância constante e atualizações de segurança em sistemas expostos à internet.