Apt28

O grupo de ameaças avançadas APT28, também conhecido como Forest Blizzard, está associado a uma nova campanha de spear-phishing que visa a Ucrânia e seus aliados, utilizando um malware inédito chamado PRISMEX. Essa campanha, que se acredita estar ativa desde setembro de 2025, tem como alvo setores estratégicos na Ucrânia, incluindo defesa e serviços de emergência, além de parceiros logísticos na Polônia, Romênia e outros países. Os pesquisadores da Trend Micro destacam que a APT28 tem explorado rapidamente vulnerabilidades recém-divulgadas, como CVE-2026-21509 e CVE-2026-21513, para comprometer sistemas antes que as correções sejam disponibilizadas. O PRISMEX utiliza técnicas avançadas de esteganografia e hijacking de componentes para ocultar suas atividades, permitindo a execução de payloads maliciosos sem alertar os usuários. A campanha também é notável por sua capacidade de realizar tanto espionagem quanto sabotagem, com a possibilidade de causar interrupções operacionais significativas. A utilização de serviços de nuvem legítimos para comando e controle (C2) representa uma nova abordagem na execução de ataques cibernéticos, aumentando a complexidade da defesa contra essas ameaças.

O grupo de ameaças ligado à Rússia, conhecido como APT28 ou Forest Blizzard, está associado a uma nova campanha de ciberespionagem que comprometeu roteadores MikroTik e TP-Link inseguros. Desde maio de 2025, a operação, chamada FrostArmada, tem como alvo dispositivos de internet domésticos e de pequenos escritórios (SOHO), explorando vulnerabilidades para redirecionar o tráfego DNS e coletar dados de rede de forma passiva. A técnica utilizada modifica as configurações de DNS dos roteadores comprometidos, permitindo que o tráfego seja desviado para servidores controlados pelos atacantes, onde credenciais de autenticação são capturadas. A campanha teve seu auge em dezembro de 2025, com mais de 18.000 endereços IP únicos de pelo menos 120 países se comunicando com a infraestrutura do APT28. O alvo principal inclui agências governamentais e provedores de serviços de e-mail e nuvem. A Microsoft e outras agências de segurança colaboraram para desativar a infraestrutura maliciosa, mas a natureza oportunista do ataque levanta preocupações sobre a segurança de dispositivos em ambientes corporativos. A exploração de vulnerabilidades, como a CVE-2023-50224, destaca a necessidade urgente de monitoramento e proteção de dispositivos de rede em uso.

Uma operação internacional coordenada por autoridades de segurança e empresas privadas desmantelou a campanha FrostArmada, vinculada ao grupo de ameaças persistentes avançadas (APT) APT28, também conhecido como Fancy Bear. Este grupo, associado ao GRU da Rússia, comprometeu principalmente roteadores MikroTik e TP-Link, alterando suas configurações de DNS para redirecionar o tráfego de autenticação de contas da Microsoft. No auge da campanha, em dezembro de 2025, cerca de 18.000 dispositivos em 120 países foram infectados, com alvos como agências governamentais e provedores de serviços de TI. A operação contou com a colaboração da Microsoft, Black Lotus Labs e apoio do FBI e do Departamento de Justiça dos EUA. Os atacantes exploraram vulnerabilidades em roteadores expostos à internet, redirecionando tráfego para servidores maliciosos, onde coletaram credenciais de login e tokens OAuth. A Microsoft e o NCSC do Reino Unido alertaram sobre a natureza oportunista dos ataques, que afetaram tanto sessões de navegador quanto aplicativos de desktop. A operação resultou na desativação da infraestrutura maliciosa, mas destaca a necessidade de medidas de segurança robustas, como o uso de pinagem de certificados e a atualização de equipamentos obsoletos.

Hackers do grupo APT28, vinculado ao serviço de inteligência militar da Rússia (GRU), estão explorando uma vulnerabilidade crítica no Zimbra Collaboration Suite (ZCS) para atacar entidades governamentais da Ucrânia. A falha de segurança, identificada como CVE-2025-66376, foi corrigida em novembro e permite que atacantes não autenticados realizem execução remota de código (RCE) através de um ataque de cross-site scripting (XSS) armazenado. A Cybersecurity and Infrastructure Security Agency (CISA) dos EUA incluiu essa vulnerabilidade em seu catálogo de falhas ativamente exploradas e ordenou que agências federais protegessem seus servidores em um prazo de duas semanas. Os ataques, que utilizam e-mails de phishing, têm como alvo instituições críticas, como a Agência Estatal de Hidrologia da Ucrânia. Os hackers enviam mensagens que contêm um payload JavaScript ofuscado, que, ao ser aberto, coleta credenciais e dados sensíveis do usuário. A vulnerabilidade do Zimbra tem sido frequentemente alvo de grupos patrocinados pelo Estado russo, com um histórico de exploração em larga escala. A situação destaca a necessidade urgente de medidas de segurança para proteger sistemas vulneráveis, especialmente em um contexto de crescente atividade cibernética hostil.

Uma falha de segurança recentemente divulgada e corrigida pela Microsoft, identificada como CVE-2026-21513, apresenta uma gravidade alta (CVSS 8.8) e afeta o MSHTML Framework. Segundo a Akamai, essa vulnerabilidade pode ter sido explorada pelo grupo de ameaças patrocinado pelo Estado russo, conhecido como APT28. A falha permite que atacantes não autorizados contornem mecanismos de segurança ao manipular arquivos HTML ou de atalho (LNK) enviados por e-mail ou links maliciosos. Ao abrir esses arquivos, o sistema operacional pode executar código malicioso, comprometendo a segurança do usuário. A Microsoft, em sua nota, confirmou que a vulnerabilidade foi utilizada em ataques reais antes de ser corrigida no Patch Tuesday de fevereiro de 2026. A Akamai também identificou um artefato malicioso associado à APT28, que foi detectado em uma análise do VirusTotal. A falha reside na lógica do arquivo ‘ieframe.dll’, que não valida adequadamente URLs, permitindo que entradas controladas por atacantes alcancem caminhos de código que invocam a execução de comandos fora do contexto de segurança do navegador. Essa situação destaca a necessidade de vigilância contínua e atualização de sistemas para mitigar riscos associados a vulnerabilidades conhecidas.

O grupo de ameaças patrocinado pelo Estado russo, conhecido como APT28, lançou uma nova campanha chamada Operação MacroMaze, visando entidades específicas na Europa Central e Ocidental. De acordo com a equipe de inteligência de ameaças LAB52, a atividade ocorreu entre setembro de 2025 e janeiro de 2026. A campanha utiliza e-mails de spear-phishing para distribuir documentos maliciosos que contêm macros projetadas para explorar serviços legítimos para a exfiltração de dados.

O grupo hacker APT28, também conhecido como Fancy Bear, é uma entidade de ciberespionagem russa associada ao GRU, o serviço de inteligência militar da Rússia. Desde sua formação em 2004, o APT28 tem se destacado por suas campanhas de espionagem e sabotagem, visando organizações governamentais e infraestruturas críticas em diversos países. O grupo é notório por suas táticas sofisticadas, que incluem spear-phishing e exploração de vulnerabilidades de dia zero, como evidenciado em um ataque recente que explorou uma falha no Microsoft Office para atingir instituições ucranianas.

Uma vulnerabilidade crítica no Microsoft Office, identificada como CVE-2026-21509, está sendo ativamente explorada por hackers, especialmente um grupo conhecido como APT28. Apesar de a Microsoft ter lançado um patch para corrigir a falha, a exploração da vulnerabilidade foi detectada apenas três dias após a atualização. A Equipe de Resposta a Emergências Cibernéticas da Ucrânia (CERT) relatou que documentos maliciosos estão sendo distribuídos, com alvos principais em organizações governamentais ucranianas e instituições na União Europeia. O ataque envolve a abertura de arquivos DOC corrompidos que desencadeiam downloads de malware, utilizando técnicas como sequestro de COM e shellcode oculto. Especialistas recomendam que as organizações atualizem imediatamente seus sistemas Microsoft Office e outros aplicativos do Microsoft 365 para evitar compromissos de segurança. A situação é alarmante, pois a falha pode ter repercussões mais amplas do que inicialmente previsto, afetando a segurança de dados em várias regiões.

O grupo de ameaças APT28, vinculado ao governo russo, está explorando uma nova vulnerabilidade no Microsoft Office, identificada como CVE-2026-21509, com um escore CVSS de 7.8. Essa falha permite que atacantes não autorizados enviem arquivos maliciosos que podem comprometer sistemas. A campanha, chamada Operation Neusploit, foi observada em ataques direcionados a usuários na Ucrânia, Eslováquia e Romênia, logo após a divulgação pública da vulnerabilidade pela Microsoft. Os pesquisadores da Zscaler relataram que os atacantes utilizaram técnicas de engenharia social em múltiplas línguas para enganar as vítimas. A exploração envolve o uso de arquivos RTF maliciosos que instalam dois tipos de droppers: MiniDoor, que rouba e-mails, e PixyNetLoader, que ativa um implante chamado Grunt, associado ao framework de comando e controle COVENANT. A CERT-UA, equipe de resposta a emergências da Ucrânia, confirmou que documentos do Word foram utilizados para atacar mais de 60 endereços de e-mail de autoridades governamentais. A vulnerabilidade representa um risco significativo, especialmente para organizações que utilizam o Microsoft Office em suas operações diárias.

O Centro de Resposta a Emergências de Computador da Ucrânia (CERT-UA) alertou que hackers russos estão explorando a vulnerabilidade CVE-2026-21509, recentemente corrigida pela Microsoft, em várias versões do Microsoft Office. Em 26 de janeiro, a Microsoft lançou uma atualização de segurança de emergência, identificando a falha como um zero-day ativamente explorado. Apenas três dias após o alerta, o CERT-UA detectou a distribuição de arquivos DOC maliciosos relacionados a consultas do COREPER da UE, além de e-mails falsificados que se passavam pelo Centro Hidrometeorológico da Ucrânia, enviados a mais de 60 endereços governamentais. A análise da metadata dos documentos revelou que foram criados um dia após a atualização de segurança. O CERT-UA atribuiu esses ataques ao grupo APT28, associado à inteligência militar russa (GRU). A abertura do documento malicioso inicia uma cadeia de download que instala malware via COM hijacking, utilizando um arquivo DLL malicioso e shellcode oculto em uma imagem. O malware COVENANT, utilizado nos ataques, se conecta ao serviço de armazenamento em nuvem Filen para operações de comando e controle. As organizações são aconselhadas a aplicar a atualização de segurança mais recente e a monitorar conexões associadas ao Filen para melhorar a defesa contra essa ameaça.

Recentemente, atores de ameaça associados ao governo russo, identificados como APT28 (também conhecido como BlueDelta), foram vinculados a uma série de ataques de coleta de credenciais. Os alvos incluem indivíduos ligados a uma agência de pesquisa energética e nuclear da Turquia, além de funcionários de um think tank europeu e organizações na Macedônia do Norte e Uzbequistão. Os ataques, que ocorreram entre fevereiro e setembro de 2025, utilizaram páginas de login falsas que imitavam serviços populares como Microsoft Outlook e Google, redirecionando os usuários para sites legítimos após a inserção de credenciais, o que dificultou a detecção. A campanha se destacou pelo uso de documentos PDF legítimos como iscas, incluindo publicações relacionadas a conflitos geopolíticos. A APT28 demonstrou uma dependência contínua de serviços de internet legítimos para hospedar suas páginas de phishing, o que ressalta a eficácia e a sofisticação de suas táticas. A empresa Recorded Future destacou que esses ataques refletem o interesse da inteligência russa em organizações ligadas à pesquisa energética e à cooperação em defesa.

O grupo de ameaças patrocinado pelo Estado russo, conhecido como APT28, está conduzindo uma campanha de roubo de credenciais direcionada a usuários do serviço de webmail e notícias UKR.net, popular na Ucrânia. Observada entre junho de 2024 e abril de 2025 pela Recorded Future, essa atividade se baseia em ataques anteriores que utilizavam malware e páginas de phishing. APT28, também conhecido como Fancy Bear, é associado ao GRU, a principal agência de inteligência militar da Rússia.

A empresa de cibersegurança Kroll revelou uma campanha de espionagem sofisticada utilizando um malware inédito chamado GONEPOSTAL, atribuído ao grupo de ameaças patrocinado pelo estado russo KTA007, conhecido como Fancy Bear ou APT28. Este malware inova ao usar a funcionalidade de e-mail do Microsoft Outlook como um canal oculto para comunicações de comando e controle (C2).

A arquitetura do GONEPOSTAL é composta por um dropper DLL malicioso e um arquivo VbaProject.OTM protegido por senha, que contém macros do Outlook. O ataque inicia com a execução de um DLL malicioso que se disfarça como uma biblioteca legítima da Microsoft, redirecionando funções para garantir a funcionalidade normal do aplicativo enquanto executa código malicioso.

O grupo de hackers patrocinado pelo Estado russo, conhecido como APT28, foi associado a um novo backdoor no Microsoft Outlook, denominado NotDoor, que tem como alvo diversas empresas em países membros da OTAN. Segundo a equipe de inteligência de ameaças LAB52, o NotDoor é um macro VBA que monitora e-mails recebidos em busca de uma palavra-chave específica. Ao detectar um e-mail com essa palavra, o malware permite que o atacante exfiltre dados, faça upload de arquivos e execute comandos no computador da vítima.