Iran

A FBI e agências de cibersegurança dos EUA alertaram sobre ataques direcionados a dispositivos de tecnologia operacional (OT) com conexão à internet, como controladores lógicos programáveis (PLCs), por grupos cibernéticos afiliados ao Irã. Esses ataques resultaram em diminuição da funcionalidade dos PLCs, manipulação de dados e, em alguns casos, interrupções operacionais e perdas financeiras. Os alvos incluem PLCs da Rockwell Automation e Allen-Bradley, utilizados em setores críticos como serviços governamentais, sistemas de água e energia. Os atacantes conseguiram acesso inicial utilizando infraestrutura de terceiros e software de configuração, estabelecendo controle remoto através de um software SSH chamado Dropbear. Para mitigar esses riscos, as organizações são aconselhadas a evitar a exposição dos PLCs à internet, implementar autenticação multifatorial e monitorar tráfego incomum. Este cenário se insere em uma escalada de ataques cibernéticos iranianos, que já haviam sido observados anteriormente em redes de OT nos EUA e em Israel. A situação é agravada por um aumento em ataques de negação de serviço distribuído (DDoS) e operações de hack-and-leak por grupos de hacktivistas associados ao Irã.

Hackers associados ao Irã estão atacando controladores lógicos programáveis (PLCs) expostos à Internet em redes de organizações de infraestrutura crítica dos Estados Unidos. O alerta foi emitido por uma parceria entre o FBI, CISA, NSA, EPA, DOE e o Cyber Command dos EUA. Desde março de 2026, esses ataques têm causado perdas financeiras e interrupções operacionais em setores como serviços governamentais, sistemas de água e esgoto e energia. Os hackers têm como objetivo causar distúrbios, manipulando arquivos de projeto e dados exibidos em interfaces HMI e SCADA. A escalada das campanhas de ataque está ligada a tensões entre o Irã e os EUA e Israel. O FBI identificou que esses ataques resultaram na extração de arquivos de projeto e manipulação de dados. Para se proteger, as organizações são aconselhadas a desconectar os PLCs da Internet, implementar autenticação multifatorial e manter os dispositivos atualizados. Além disso, um grupo hacktivista pro-Palestina, Handala, comprometeu cerca de 80 mil dispositivos em uma rede de uma empresa médica dos EUA. O FBI também alertou sobre o uso do Telegram por hackers iranianos em ataques de malware.

Um ator de ameaça vinculado ao Irã está por trás de uma campanha de password spraying direcionada a ambientes Microsoft 365 em Israel e nos Emirados Árabes Unidos (EAU), conforme relatado pela empresa de cibersegurança Check Point. A atividade, que ocorre em três ondas distintas, afetou mais de 300 organizações em Israel e mais de 25 nos EAU, com alvos que incluem entidades governamentais, empresas de tecnologia, transporte e energia. O password spraying é uma técnica de ataque que tenta usar uma única senha comum em múltiplos nomes de usuário, sendo uma abordagem mais eficaz para descobrir credenciais fracas sem acionar defesas de limitação de taxa. Além disso, o grupo de ransomware iraniano Pay2Key também voltou a atacar, visando uma organização de saúde nos EUA, utilizando técnicas avançadas de evasão e execução. A campanha de ransomware, que não resultou em exfiltração de dados, destaca a crescente integração de operações cibernéticas com objetivos políticos por parte do Irã. As organizações são aconselhadas a monitorar logs de acesso, aplicar controles de acesso condicionais e implementar autenticação multifator (MFA) para mitigar esses riscos.

Um grupo de hackers associado ao Irã, conhecido como Charming Kitten, tem utilizado táticas de engenharia social para comprometer usuários de plataformas da Apple e Microsoft. Em vez de explorar vulnerabilidades técnicas, os atacantes criam identidades falsas e estabelecem relações de confiança com as vítimas, levando-as a revelar credenciais ou instalar softwares maliciosos. Essa abordagem, reminiscentes das estratégias de espionagem da Guerra Fria, permite que os hackers operem de forma eficaz em um ambiente digital, afetando usuários em todo o mundo.

Um grupo de hackers ligado ao Irã, conhecido como Handala Hack Team, invadiu a conta de e-mail pessoal de Kash Patel, diretor do FBI, e divulgou uma série de fotos e documentos na internet. O FBI confirmou que os e-mails de Patel foram alvo de ataque, mas assegurou que os dados vazados são de natureza histórica e não contêm informações governamentais. O Handala Hack é associado ao Ministério da Inteligência e Segurança do Irã e tem um histórico de ataques direcionados a provedores de serviços de TI, utilizando credenciais comprometidas para obter acesso inicial. Recentemente, o grupo também foi responsável por um ataque destrutivo à Stryker, uma empresa da Fortune 500, onde deletou dados e limpou dispositivos de funcionários. O ataque é considerado um marco na ameaça à cadeia de suprimentos, especialmente no setor de saúde. Em resposta a operações de combate ao cibercrime, o Handala Hack divulgou os e-mails de Patel, que incluem comunicações de 2010 a 2019. O governo dos EUA está oferecendo uma recompensa de 10 milhões de dólares por informações sobre os membros do grupo, que tem utilizado táticas de engenharia social e malware para atingir dissidentes e jornalistas. O FBI e a CISA emitiram orientações para reforçar a segurança de domínios do Windows e do Microsoft Intune, visando prevenir ataques semelhantes.

As tensões geopolíticas estão se refletindo cada vez mais no ciberespaço, com ataques motivados pela desestabilização em vez de lucro financeiro. Grupos de atores estatais, como os iranianos, têm utilizado malware destrutivo, conhecido como wiper, para causar caos operacional em organizações e infraestruturas críticas. Um exemplo recente é o ataque do grupo Handala à Stryker, que resultou na destruição de milhares de dispositivos e na interrupção das operações em 79 países. Para os líderes de segurança, a questão não é apenas como prevenir intrusões, mas como sobreviver a elas. O artigo apresenta uma estratégia em cinco etapas para os CISOs, focando na contenção e no controle interno. As etapas incluem: impedir o roubo de credenciais, prevenir o movimento lateral através de portas administrativas, restringir contas privilegiadas, detectar caminhos de acesso não autorizados e conter atividades destrutivas rapidamente. A eficácia dessas medidas depende da capacidade de limitar o movimento dos atacantes dentro da rede, uma vez que a maioria dos ataques destrutivos não requer malware sofisticado, mas sim acesso irrestrito.

Um grupo de ameaças ligado ao Irã, identificado como Dust Specter, está sendo responsabilizado por uma campanha de ciberataques direcionada a autoridades governamentais do Iraque. A campanha, observada pela Zscaler ThreatLabz em janeiro de 2026, utiliza técnicas de engenharia social para se passar pelo Ministério das Relações Exteriores do Iraque e distribuir um conjunto de malwares inéditos, incluindo SPLITDROP, TWINTASK, TWINTALK e GHOSTFORM.

Os ataques começam com um arquivo RAR protegido por senha, que contém um dropper .NET chamado SPLITDROP. Este dropper carrega o módulo TWINTASK, que é um DLL malicioso que se infiltra em um processo legítimo do VLC Media Player para executar comandos a partir de um arquivo de texto. O módulo TWINTALK, por sua vez, atua como um orquestrador de comando e controle (C2), permitindo a comunicação com o servidor C2.

Pesquisadores de cibersegurança revelaram detalhes sobre a campanha CRESCENTHARVEST, que parece ter como alvo apoiadores dos protestos no Irã, visando roubo de informações e espionagem a longo prazo. A Acronis Threat Research Unit (TRU) observou atividades suspeitas a partir de 9 de janeiro, onde ataques foram projetados para entregar um trojan de acesso remoto (RAT) e um ladrão de informações. Os ataques utilizam arquivos .LNK disfarçados como imagens ou vídeos relacionados aos protestos, aumentando a credibilidade para atrair iranianos que falam farsi. Embora a origem da campanha não tenha sido atribuída, acredita-se que seja obra de um grupo de ameaças alinhado ao Irã. O vetor de acesso inicial ainda não é conhecido, mas suspeita-se do uso de spear-phishing e engenharia social. Os arquivos maliciosos contêm código PowerShell que baixa um arquivo ZIP com um executável legítimo da Google, que é utilizado para realizar atividades maliciosas, como roubo de credenciais e dados do sistema. A campanha CRESCENTHARVEST representa uma continuidade de operações de espionagem cibernética de estado-nação, refletindo táticas bem estabelecidas de acesso inicial e coleta de dados.

Um recente relatório da equipe de inteligência de ameaças da Amazon revela que atores de ameaças ligados ao Irã estão utilizando operações cibernéticas para facilitar ataques físicos, uma prática que a empresa chama de ‘alvo cinético habilitado por ciber’. O relatório destaca que as linhas entre ataques cibernéticos patrocinados por estados e a guerra cinética estão se tornando cada vez mais tênues. O CISO da Amazon, CJ Moses, afirma que essas operações não são meros ataques cibernéticos que causam danos físicos, mas sim campanhas coordenadas onde operações digitais são projetadas para apoiar objetivos militares físicos. Exemplos incluem o grupo Imperial Kitten, que realizou reconhecimento digital de sistemas de identificação automática de navios, e o grupo MuddyWater, que acessou câmeras de vigilância em tempo real para coletar inteligência visual. Esses casos demonstram como a espionagem cibernética pode servir como um trampolim para ataques físicos direcionados, ressaltando a necessidade de uma nova abordagem na segurança cibernética que integre ameaças digitais e físicas. A Amazon alerta que essa evolução na guerra representa um desafio significativo para a segurança global e a infraestrutura crítica.

Pesquisadores da Proofpoint identificaram um novo grupo de ameaças ligado ao Irã, denominado UNK_SmudgedSerpent, que realizou operações de phishing voltadas para acadêmicos e especialistas em política externa entre junho e agosto de 2025. As campanhas utilizaram táticas de engenharia social, ferramentas de colaboração falsificadas e software legítimo de monitoramento remoto para infiltrar alvos focados em questões geopolíticas e domésticas do Irã.

O grupo começou com conversas benignas sobre mudanças sociais no Irã, mas rapidamente evoluiu para o envio de links para coleta de credenciais e cargas administrativas remotas. Um dos ataques mais notáveis envolveu a falsificação do e-mail de Suzanne Maloney, diretora do Brookings Institution, que contatou membros de think tanks com convites para colaboração que levavam a páginas de login falsas do Microsoft 365. O uso de software comercial para gerenciamento remoto, como o PDQConnect, permitiu acesso contínuo aos sistemas das vítimas.

Um grupo de espionagem cibernética vinculado ao Irã, conhecido como UNC1549, está por trás de uma nova campanha que visa empresas de telecomunicações na Europa. A empresa suíça de cibersegurança PRODAFT identificou que o grupo infiltrou 34 dispositivos em 11 organizações localizadas em países como Canadá, França, Emirados Árabes Unidos, Reino Unido e Estados Unidos. Os atacantes se disfarçam como representantes de recursos humanos em plataformas como o LinkedIn, utilizando uma abordagem de recrutamento falsa para enganar funcionários e instalar um backdoor chamado MINIBIKE. Este malware permite a coleta de dados sensíveis, como credenciais do Outlook e informações de navegação. A campanha é caracterizada por um planejamento meticuloso, onde os atacantes realizam reconhecimento extensivo para identificar alvos com acesso elevado a sistemas críticos. Além disso, a operação é apoiada por técnicas avançadas de ofuscação e comunicação, utilizando serviços legítimos de nuvem para evitar detecções. O grupo UNC1549, ativo desde pelo menos junho de 2022, é associado à Guarda Revolucionária Islâmica do Irã e tem como objetivo a coleta de dados estratégicos para espionagem de longo prazo.

Um grupo de ciberespionagem vinculado ao Irã foi identificado como responsável por uma campanha de spear-phishing coordenada, visando embaixadas e consulados na Europa e em outras regiões do mundo. A empresa de cibersegurança israelense Dream atribuiu a atividade a operadores alinhados ao Irã, conectados a um esforço mais amplo de espionagem cibernética. Os ataques utilizaram e-mails que se disfarçavam como comunicações diplomáticas legítimas, explorando tensões geopolíticas entre o Irã e Israel. Os e-mails continham documentos do Microsoft Word maliciosos que, ao serem abertos, solicitavam aos destinatários que habilitassem macros, permitindo a execução de um código VBA que implantava um malware. Os alvos incluíram embaixadas, consulados e organizações internacionais em várias partes do mundo, com foco particular na Europa e na África. A campanha foi realizada a partir de 104 endereços de e-mail comprometidos, incluindo um que pertencia ao Ministério das Relações Exteriores de Omã. O objetivo final dos ataques era estabelecer persistência no sistema da vítima, contatar um servidor de comando e controle e coletar informações do sistema. A ClearSky, outra empresa de cibersegurança, também observou que técnicas semelhantes foram usadas em ataques anteriores, sugerindo uma continuidade nas táticas dos atores de ameaça iranianos.