Coleta De Credenciais

Recentemente, atores de ameaça associados ao governo russo, identificados como APT28 (também conhecido como BlueDelta), foram vinculados a uma série de ataques de coleta de credenciais. Os alvos incluem indivíduos ligados a uma agência de pesquisa energética e nuclear da Turquia, além de funcionários de um think tank europeu e organizações na Macedônia do Norte e Uzbequistão. Os ataques, que ocorreram entre fevereiro e setembro de 2025, utilizaram páginas de login falsas que imitavam serviços populares como Microsoft Outlook e Google, redirecionando os usuários para sites legítimos após a inserção de credenciais, o que dificultou a detecção. A campanha se destacou pelo uso de documentos PDF legítimos como iscas, incluindo publicações relacionadas a conflitos geopolíticos. A APT28 demonstrou uma dependência contínua de serviços de internet legítimos para hospedar suas páginas de phishing, o que ressalta a eficácia e a sofisticação de suas táticas. A empresa Recorded Future destacou que esses ataques refletem o interesse da inteligência russa em organizações ligadas à pesquisa energética e à cooperação em defesa.

Pesquisadores de cibersegurança identificaram 175 pacotes maliciosos no registro npm, utilizados em uma campanha de coleta de credenciais chamada Beamglea. Esses pacotes, que foram baixados 26.000 vezes, servem como infraestrutura para um ataque de phishing direcionado a mais de 135 empresas dos setores industrial, tecnológico e energético ao redor do mundo. Os pacotes, com nomes aleatórios, dificultam a instalação acidental por desenvolvedores, mas as contagens de download incluem pesquisadores de segurança e scanners automáticos. Os pacotes hospedam scripts de redirecionamento que levam as vítimas a páginas de captura de credenciais. Um arquivo Python, chamado “redirect_generator.py”, é utilizado para criar pacotes npm com URLs de phishing personalizadas. Quando as vítimas abrem arquivos HTML maliciosos, o JavaScript redireciona automaticamente para páginas de phishing, preenchendo o campo de e-mail com o endereço da vítima, aumentando assim a credibilidade do ataque. Essa situação destaca a evolução das táticas de cibercriminosos, que abusam de infraestruturas legítimas para realizar ataques em larga escala.