China

Três grupos de atividade de ameaças associados à China têm como alvo uma organização governamental no Sudeste Asiático, em uma operação complexa e bem financiada. As campanhas resultaram na utilização de diversas famílias de malware, incluindo HIUPAN, PUBLOAD, e FluffyGh0st, entre outros. Os pesquisadores da Palo Alto Networks identificaram três clusters de atividade: Mustang Panda, CL-STA-1048 e CL-STA-1049, que demonstram sobreposição em táticas e técnicas, sugerindo uma coordenação entre os grupos. A atividade do Mustang Panda, registrada entre junho e agosto de 2025, utilizou malware USB para implantar backdoors, enquanto o CL-STA-1049 fez uso de um novo loader DLL, o Hypnosis Loader, para instalar o FluffyGh0st RAT. A intenção dos atacantes parece ser a obtenção de acesso persistente a redes governamentais sensíveis, em vez de causar apenas interrupções. A convergência dessas atividades destaca a necessidade de vigilância contínua e medidas de segurança robustas para proteger informações críticas.

Desde 2024, um ator de ameaça persistente avançada (APT) vinculado à China, identificado como UAT-9244, tem como alvo a infraestrutura crítica de telecomunicações na América do Sul, atacando sistemas Windows e Linux, além de dispositivos de borda. A Cisco Talos, que monitora essa atividade, descreve UAT-9244 como associado ao grupo FamousSparrow, que também possui vínculos com o grupo Salt Typhoon, conhecido por suas ações contra provedores de serviços de telecomunicações.

Um grupo de ameaça persistente avançada, identificado como UAT-9244 e vinculado à China, tem como alvo provedores de serviços de telecomunicações na América do Sul desde 2024. Pesquisadores da Cisco Talos relataram que o grupo utiliza três novas famílias de malware: TernDoor, um backdoor para Windows; PeerTime, um backdoor para Linux que utiliza o protocolo BitTorrent; e BruteEntry, um scanner de força bruta que transforma dispositivos comprometidos em nós de escaneamento.

O grupo de ciberameaças conhecido como UnsolicitedBooker tem direcionado suas atividades para empresas de telecomunicações no Quirguistão e no Tajiquistão, após uma série de ataques anteriores a entidades na Arábia Saudita. Os ataques utilizam duas backdoors distintas, chamadas LuciDoor e MarsSnake, conforme relatado pela Positive Technologies. A UnsolicitedBooker, que foi documentada pela primeira vez pela ESET em maio de 2025, é considerada ativa desde março de 2023 e tem um histórico de ataques a organizações na Ásia, África e Oriente Médio. Recentemente, os ataques foram realizados através de e-mails de phishing que continham documentos do Microsoft Office, que, ao serem abertos, solicitavam que os usuários ‘ativassem o conteúdo’ para executar macros maliciosas. Essas macros implantavam um carregador de malware chamado LuciLoad, que, por sua vez, instalava a backdoor LuciDoor. Em um ataque posterior, o grupo utilizou um carregador diferente, o MarsSnakeLoader, para implantar a backdoor MarsSnake. A Positive Technologies também observou que o MarsSnake foi utilizado em ataques direcionados à China. O uso de ferramentas raras de origem chinesa e a possibilidade de um roteador hackeado servir como servidor de comando e controle destacam a sofisticação das operações do grupo.

O DKnife é um novo toolkit de cibersegurança, descoberto por pesquisadores da Cisco Talos, que tem sido utilizado desde 2019 para sequestrar tráfego em dispositivos de borda e entregar malware em campanhas de espionagem. Este framework atua como uma plataforma pós-compromisso para monitoramento de tráfego e atividades de adversário no meio (AitM), interceptando e manipulando dados destinados a dispositivos finais, como computadores, dispositivos móveis e IoTs.

Composto por sete módulos baseados em Linux, o DKnife é projetado para inspeção profunda de pacotes (DPI), manipulação de tráfego e coleta de credenciais. Os pesquisadores identificaram que o malware possui artefatos em chinês simplificado e visa especificamente serviços chineses, como provedores de e-mail e aplicativos móveis. Embora não tenham conseguido determinar como os equipamentos de rede são comprometidos, o DKnife interage com backdoors conhecidos, como ShadowPad e DarkNimbus, ambos associados a atores de ameaças da China.

Pesquisadores de cibersegurança revelaram a existência do DKnife, um framework de monitoramento de gateways e ataque do tipo adversário no meio (AitM), operado por atores de ameaça com vínculos à China desde 2019. O DKnife é composto por sete implantes baseados em Linux, projetados para realizar inspeção profunda de pacotes, manipular tráfego e entregar malware através de roteadores e dispositivos de borda. Os principais alvos são usuários de língua chinesa, evidenciado pela presença de páginas de phishing para serviços de e-mail chineses e módulos de exfiltração para aplicativos populares como o WeChat. O framework é capaz de interceptar downloads e atualizações de aplicativos Android, além de monitorar atividades de usuários em tempo real. A Cisco Talos, que identificou o DKnife, destaca que a infraestrutura do framework está conectada a outras atividades de ameaças, como o grupo Earth Minotaur. A descoberta do DKnife ressalta as capacidades avançadas das ameaças AitM modernas, que combinam inspeção profunda de pacotes, manipulação de tráfego e entrega personalizada de malware em uma ampla gama de dispositivos.

Um grupo de hackers avançados, identificado como UAT-8837 e supostamente vinculado à China, tem se concentrado em sistemas de infraestrutura crítica na América do Norte, explorando vulnerabilidades conhecidas e zero-day para obter acesso inicial a organizações-alvo. Ativo desde pelo menos 2025, o grupo utiliza credenciais comprometidas e vulnerabilidades de servidores para iniciar seus ataques. Recentemente, explorou a falha CVE-2025-53690, uma vulnerabilidade zero-day em produtos Sitecore, indicando acesso a problemas de segurança não divulgados. Após a invasão, os atacantes realizam atividades de reconhecimento e colheita de credenciais utilizando comandos nativos do Windows e ferramentas de código aberto. Entre as ferramentas utilizadas estão GoTokenTheft e Rubeus, que visam roubar tokens de acesso e credenciais do Active Directory. O relatório da Cisco Talos também destaca que os atacantes podem exfiltrar arquivos DLL de produtos utilizados pelas vítimas, o que pode facilitar futuros ataques de trojanização e na cadeia de suprimentos. A análise sugere que o grupo UAT-8837 está alinhado com as táticas de outros atores de ameaças conhecidos da China, o que aumenta a preocupação com a segurança das infraestruturas críticas na região.

Em 2025, a China intensificou seus ataques cibernéticos contra Taiwan, com um aumento de 6% em relação ao ano anterior, totalizando uma média de 2,63 milhões de ataques diários, conforme relatório do National Security Bureau (NSB). Os setores mais afetados incluem a infraestrutura de energia, que sofreu um aumento de 10 vezes nos ciberataques, e os sistemas de resgate de emergência hospitalar, com um crescimento de 54%. O NSB aponta que esses ataques visam comprometer a infraestrutura crítica de Taiwan e interromper funções governamentais e sociais. Além disso, os ataques são direcionados, sugerindo uma tática de “neutralização na primeira hora do conflito”. Embora a maioria dos ataques tenha sido bloqueada, alguns conseguiram comprometer entidades de inteligência. O relatório também destaca que 57% dos ataques focaram em falhas de hardware e software, enquanto 21% foram ataques de negação de serviço. A escalada dos ciberataques reflete uma disputa histórica entre China e Taiwan, com implicações políticas e sociais significativas.

Em 2025, a infraestrutura de Taiwan enfrentou uma média alarmante de 2,63 milhões de ciberataques diários originados da China, conforme relatado pelo Escritório de Segurança Nacional de Taiwan. Este número representa um aumento de 6% em relação ao ano anterior e um impressionante crescimento de 113% desde 2023, quando Taiwan começou a monitorar esses incidentes. Os ataques, que frequentemente coincidem com eventos militares e políticos significativos, são vistos como parte da estratégia de ‘guerra híbrida’ da China, que visa desestabilizar a ilha. Grupos de hackers associados à China, como Volt Typhoon e Brass Typhoon, estão envolvidos em atividades de espionagem e roubo de dados que atendem aos interesses nacionais chineses. O relatório destaca que os ataques têm como alvos principais hospitais, bancos e agências governamentais, indicando uma tentativa deliberada de comprometer a infraestrutura crítica de Taiwan. Apesar das alegações, a China não respondeu oficialmente ao relatório e geralmente nega envolvimento em ciberataques, acusando os Estados Unidos de serem os verdadeiros ‘bullys cibernéticos’ do mundo.

O Centro de Resposta Nacional de Emergência de Vírus de Computador da China (CVERC) acusou os Estados Unidos de terem roubado 127.272 bitcoins, equivalentes a aproximadamente R$ 69 bilhões, em um ataque hacker ocorrido em dezembro de 2020. O ataque teria sido direcionado à LuBian, uma das maiores mineradoras de criptomoedas do mundo. Segundo informações do site Nikkei Asia, os bitcoins subtraídos permaneceram inativos por mais de quatro anos, até que, em 2024, os EUA teriam movimentado os fundos após a acusação formal de Chen Zhi, um empresário ligado a centros de golpe no Camboja. O governo chinês sugere que a operação foi orquestrada por uma organização hacker nacional, e não por hackers comuns. Este incidente é o maior confisco de criptomoedas da história, superando o valor anteriormente confiscado pelo Reino Unido. A situação é complexa, pois as criptomoedas não têm jurisdição específica, o que dificulta a transparência nas operações. A recente divulgação da China sobre o caso levanta questões sobre a motivação por trás do comunicado, especialmente em um contexto de trégua comercial entre os dois países.

Um vazamento significativo de dados da empresa chinesa Knownsec, especializada em cibersegurança, revelou informações que sugerem um possível envolvimento do governo da China em atividades de ciberespionagem. O incidente, que ocorreu no início de novembro de 2025, expôs cerca de 12 mil arquivos, totalizando aproximadamente 95 GB de registros de imigração da Índia, 3 TB de registros de chamadas da operadora sul-coreana LG Uplus e 459 GB de dados sobre transporte em Taiwan. Os documentos vazados indicam que a Knownsec, que frequentemente colabora com órgãos governamentais, poderia estar desenvolvendo “armas cibernéticas” para espionagem. Além disso, foram encontrados dados sensíveis de mais de 20 países, incluindo Japão e Reino Unido, e uma planilha detalhando ataques digitais a 80 empresas internacionais, principalmente no setor de telecomunicações. Os hackers teriam utilizado um trojan de acesso remoto (RAT) para obter controle total dos dispositivos infectados, além de ferramentas específicas para Android que permitiam a coleta de mensagens de aplicativos como Telegram. O governo chinês negou qualquer envolvimento, afirmando que não tem conhecimento sobre a violação de segurança, mas não descartou a possibilidade de que empresas estatais possam estar envolvidas em operações de inteligência cibernética.

Um recente vazamento de dados na empresa de segurança chinesa Knownsec expôs mais de 12.000 documentos classificados que revelam operações de hacking ligadas ao governo chinês. Os arquivos vazados incluem informações sobre ‘armas cibernéticas’, ferramentas internas de inteligência artificial e uma lista extensa de alvos internacionais, abrangendo mais de vinte países, como Japão, Índia e Reino Unido. Entre as informações preocupantes, estão planilhas que detalham ataques a 80 alvos estrangeiros, incluindo empresas de infraestrutura crítica e telecomunicações. O vazamento também revelou dados significativos, como 95GB de registros de imigração da Índia e 3TB de logs de chamadas da LG U Plus da Coreia do Sul. Os especialistas identificaram a presença de Trojans de Acesso Remoto (RATs) que podem comprometer sistemas operacionais populares, além de dispositivos de hacking de hardware utilizados pela Knownsec. Apesar das tentativas do governo chinês de desmentir o incidente, a profundidade da infiltração sugere uma colaboração estreita entre empresas privadas e operações estatais. Este evento destaca a necessidade de uma defesa cibernética mais robusta, que combine monitoramento em tempo real e segmentação de rede.

Um ator de ameaças vinculado à China foi identificado como responsável por um ataque cibernético a uma organização sem fins lucrativos dos Estados Unidos, com o objetivo de estabelecer uma presença persistente na rede. O ataque, que ocorreu em abril de 2025, visou uma entidade envolvida na influência de políticas governamentais dos EUA sobre questões internacionais. Os invasores exploraram várias vulnerabilidades conhecidas, como CVE-2022-26134 (Atlassian) e CVE-2021-44228 (Apache Log4j), para obter acesso à rede. Após semanas de atividade, foram detectados comandos que testavam a conectividade e coletavam informações de configuração de rede. Os atacantes configuraram tarefas agendadas para garantir a persistência, utilizando um binário legítimo da Microsoft para executar um payload desconhecido. Além disso, foram observados componentes maliciosos relacionados a grupos de ameaças chineses conhecidos, como o Salt Typhoon. A análise sugere que os atacantes estavam interessados em comprometer controladores de domínio, o que poderia permitir a propagação do ataque em toda a rede. O relatório destaca a tendência de compartilhamento de ferramentas entre grupos de ameaças chineses, dificultando a atribuição precisa de atividades maliciosas.

Em setembro de 2025, um incidente de segurança sem precedentes resultou no vazamento de mais de 500 gigabytes de dados internos de empresas que operam a infraestrutura do Grande Firewall (GFW) da China. O vazamento revelou uma visão abrangente da arquitetura de censura do país, incluindo manuais técnicos, logs operacionais e comunicações internas. Acredita-se que o ataque tenha sido realizado por um insider privilegiado ou um adversário externo altamente coordenado, resultando em um arquivo que se aproxima de 600GB e contém mais de 100.000 arquivos únicos.

No último domingo, a China acusou a Agência de Segurança Nacional dos EUA (NSA) de realizar um ataque cibernético premeditado contra o Centro Nacional de Serviço de Tempo (NTSC), descrevendo os EUA como um “império hacker”. O Ministério da Segurança do Estado (MSS) afirmou ter encontrado “provas irrefutáveis” da participação da NSA em uma intrusão que teria ocorrido em 25 de março de 2022, embora o ataque tenha sido frustrado. O NTSC, responsável pela manutenção do horário padrão nacional, poderia ter sofrido consequências severas, como falhas em comunicações e interrupções em sistemas financeiros, caso o ataque tivesse sucesso. Segundo o MSS, a NSA teria explorado falhas de segurança em um serviço de SMS de uma marca estrangeira para comprometer dispositivos móveis de funcionários do NTSC, resultando no roubo de dados sensíveis. Além disso, a agência americana teria utilizado credenciais de login roubadas para acessar os computadores do NTSC e implementar uma nova plataforma de “guerra cibernética” entre agosto de 2023 e junho de 2024, ativando 42 ferramentas especializadas para ataques intensos. O MSS também acusou os EUA de realizar ataques cibernéticos persistentes contra diversos países, incluindo a China, e de distorcer a narrativa sobre a “ameaça cibernética chinesa”.

Dominic Cummings, ex-assessor do ex-primeiro-ministro Boris Johnson, afirmou que hackers chineses acessaram sistemas de segurança de alto nível do governo do Reino Unido por mais de uma década, obtendo informações classificadas, incluindo dados sensíveis conhecidos como ‘Strap’. Cummings alegou que foi informado sobre a violação em 2020 e que a informação comprometida incluía materiais dos serviços de inteligência e do Secretariado de Segurança Nacional. Em resposta, o Gabinete do Primeiro-Ministro negou as alegações, afirmando que os sistemas utilizados para transferir informações sensíveis não foram comprometidos. O ex-chefe do Centro Nacional de Cibersegurança do Reino Unido, professor Ciaran Martin, também desmentiu as afirmações de Cummings, ressaltando que não houve investigação sobre a suposta violação e que os sistemas em questão são projetados para serem seguros e monitorados de forma diferente de sistemas baseados na internet. As declarações de Cummings geraram um debate acalorado, e ele se ofereceu para testemunhar caso o Parlamento inicie uma investigação sobre o assunto.

Nos últimos dois anos e meio, organizações governamentais e de telecomunicações na África, Oriente Médio e Ásia têm sido alvo de um ator de ameaças de estado-nacional alinhado à China, conhecido como Phantom Taurus. O foco principal do grupo inclui ministérios das relações exteriores, embaixadas e operações militares, com o objetivo de coletar informações confidenciais e realizar espionagem. O grupo, que foi inicialmente identificado como CL-STA-0043, demonstrou uma capacidade notável de adaptação em suas táticas e técnicas, utilizando ferramentas personalizadas, como um malware chamado NET-STAR, desenvolvido em .NET para atacar servidores web IIS. As operações do Phantom Taurus frequentemente coincidem com eventos geopolíticos significativos, refletindo um interesse estratégico por informações de defesa e comunicações diplomáticas. A abordagem do grupo inclui a exploração de vulnerabilidades conhecidas, como ProxyLogon e ProxyShell, em servidores Microsoft Exchange e IIS, além de um método inovador que permite a extração de dados diretamente de bancos de dados SQL. A complexidade e a sofisticação das técnicas empregadas pelo Phantom Taurus representam uma ameaça significativa para servidores expostos à internet, exigindo atenção redobrada de profissionais de segurança cibernética.

Desde 2019, o grupo de hackers APT Salt Typhoon, apoiado pelo Estado chinês, tem conduzido uma campanha de espionagem altamente direcionada contra redes de telecomunicações globais. Este grupo, alinhado ao Ministério da Segurança do Estado da China, utiliza implantes de firmware personalizados e rootkits em roteadores para manter acesso persistente e discreto em ambientes de telecomunicações nos EUA, Reino Unido, Taiwan e na União Europeia.

As operações começam com a exploração de vulnerabilidades conhecidas em dispositivos de rede, como roteadores e firewalls. Após a invasão, o grupo implanta ferramentas que sobrevivem a atualizações de software, permitindo a coleta de dados sensíveis, como registros de chamadas e informações de roteamento SS7. Um ataque em 2024 resultou no roubo de terabytes de metadados de operadoras como AT&T e Verizon.

Um vazamento de dados sem precedentes expôs mais de 500 GB de documentos sensíveis do Grande Firewall da China (GFW) em 11 de setembro de 2025. Este é o maior vazamento de documentos internos do GFW na história, oferecendo uma visão detalhada do sistema de censura e vigilância digital da China. A análise inicial indica que o vazamento inclui código-fonte, registros de trabalho, comunicações internas e arquivos de pacotes RPM. Os dados vazados originaram-se de duas organizações-chave: Geedge Networks e o MESA Lab do Instituto de Engenharia da Informação da Academia Chinesa de Ciências. A Geedge Networks, liderada por Fang Binxing, conhecido como o ‘Pai do Grande Firewall’, é a força técnica central por trás das operações do GFW. O vazamento revela também que a China exporta sua tecnologia de censura para outros países, como Myanmar e Paquistão, sob a iniciativa da Rota da Seda. Especialistas em segurança alertam que a profundidade do vazamento pode alterar a compreensão global sobre os mecanismos de controle da internet em regimes autoritários e exigem cautela no manuseio dos dados vazados, recomendando ambientes isolados para análise.

Pesquisadores da Bitdefender alertaram sobre um novo malware sem arquivo, chamado EggStreme, que foi utilizado por um ator de ameaça chinês para atacar uma empresa militar nas Filipinas. O EggStreme é uma estrutura modular que permite acesso remoto, injeção de payloads, registro de teclas e espionagem persistente. O malware é composto por seis componentes principais, incluindo um carregador inicial que estabelece uma conexão reversa e um backdoor principal que suporta 58 comandos. A entrega do malware ocorre por meio de um arquivo DLL carregado lateralmente, que é ativado por executáveis confiáveis, permitindo que ele contorne controles de segurança. Embora a Bitdefender tenha tentado atribuir o ataque a grupos APT chineses conhecidos, não conseguiu estabelecer uma conexão clara, mas os objetivos do ataque se alinham com as táticas de espionagem cibernética frequentemente associadas a esses grupos. O ataque destaca a crescente preocupação com a segurança cibernética na região da Ásia-Pacífico, onde atores estatais têm se mostrado ativos em várias nações vizinhas, incluindo Vietnã e Taiwan.

Pesquisadores de segurança cibernética identificaram um conjunto de 45 domínios associados a grupos de ameaças ligados à China, como Salt Typhoon e UNC4841, com registros que datam de maio de 2020. A análise, realizada pela Silent Push, revela que esses domínios compartilham infraestrutura com atividades anteriores, incluindo a exploração de uma vulnerabilidade crítica (CVE-2023-2868) em dispositivos Barracuda Email Security Gateway. Salt Typhoon, ativo desde 2019, ganhou notoriedade por atacar provedores de telecomunicações nos EUA e é supostamente operado pelo Ministério da Segurança do Estado da China. A pesquisa também destacou o uso de endereços de e-mail Proton Mail para registrar domínios com informações falsas. A recomendação é que organizações que possam estar em risco de espionagem chinesa verifiquem seus logs DNS dos últimos cinco anos em busca desses domínios e seus subdomínios. O alerta é especialmente relevante considerando a crescente preocupação com a cibersegurança em um cenário global cada vez mais complexo.

Recentemente, a China experimentou uma interrupção em sua conexão com a internet global, que durou 74 minutos, afetando especificamente o tráfego no TCP port 443, utilizado para HTTPS. O incidente ocorreu entre 00:34 e 01:48, horário de Pequim, quando a maioria dos cidadãos estava dormindo, levantando questões sobre se foi um erro ou uma ação intencional. Durante a interrupção, o Grande Firewall da China bloqueou o acesso a sites externos e interrompeu serviços de empresas como Apple e Tesla. Curiosamente, apenas o port 443 foi afetado, enquanto outros, como 22 (SSH) e 80 (HTTP), permaneceram operacionais. A análise sugere que o dispositivo responsável pela interrupção não correspondia aos equipamentos conhecidos do Grande Firewall, o que pode indicar um novo dispositivo de censura ou uma configuração incorreta. Além disso, não houve eventos políticos significativos que pudessem justificar a ação, tornando a situação ainda mais enigmática. Coincidentemente, horas antes, o Paquistão também enfrentou uma queda significativa no tráfego da internet, o que pode indicar uma possível conexão entre os dois eventos, dado o histórico de censura em ambos os países.

Pesquisadores de segurança identificaram que 12 aplicativos de VPN gratuitos disponíveis nas lojas Google Play e Apple App Store possuem impressões digitais de redes russas, enquanto seis têm traços chineses. Entre esses, cinco VPNs estão associadas a uma empresa baseada em Xangai, supostamente ligada ao exército chinês. Embora essas impressões não confirmem necessariamente a propriedade russa ou chinesa, especialistas recomendam cautela em relação à privacidade dos dados. Os aplicativos afetados incluem Turbo VPN e VPN Proxy Master, que utilizam kits de desenvolvimento de software (SDKs) de origem russa ou chinesa, indicando uma possível intenção de controle. A análise revela que a maioria dos aplicativos que se comunicam com domínios russos não está listada na App Store da Apple, sugerindo uma abordagem mais rigorosa da empresa em relação a VPNs ligadas à Rússia. O uso de VPNs não verificadas pode expor os usuários a riscos de privacidade, como rastreamento invasivo e vigilância estrangeira. Para uma navegação segura, recomenda-se considerar VPNs confiáveis como Privado VPN, Proton VPN e Windscribe VPN.

Um relatório do Tech Transparency Project revelou que mais de 20 das 100 principais VPNs gratuitas nas lojas de aplicativos dos EUA têm indícios de propriedade chinesa, sem divulgações claras sobre esses vínculos. Após a publicação do relatório, a Apple removeu alguns aplicativos suspeitos, mas muitos permanecem disponíveis. A Comparitech analisou 24 aplicativos de VPN, tanto para Android quanto para iOS, e encontrou que seis deles se comunicam com domínios chineses, enquanto oito se conectam a IPs russos. Esses sinais não confirmam a propriedade, mas levantam preocupações sobre a privacidade dos usuários, já que as leis da China e da Rússia podem forçar VPNs a monitorar dados. A análise também revelou que algumas VPNs utilizam SDKs chineses ou russos, o que pode indicar controle ou desenvolvimento por entidades desses países. A Comparitech recomenda que os usuários verifiquem a origem de suas VPNs, já que a falta de transparência pode ser um sinal de alerta. VPNs baseadas na China ou na Rússia não podem garantir serviços de ‘sem registros’, o que é essencial para a proteção da privacidade do usuário.