Plugx

Pesquisadores de cibersegurança revelaram uma série de atividades de espionagem cibernética direcionadas a várias organizações de aplicação da lei no Paquistão, supostamente realizadas por atores de ameaças alinhados à China e à Índia entre fevereiro de 2024 e abril de 2026. O foco principal foi a Polícia de Balochistão, onde servidores que hospedam aplicações web gerenciando dados policiais e de cidadãos, como registros criminais e biométricos, foram comprometidos. Um dos aplicativos afetados, o Sistema de Gestão de Reclamações (CMS), foi utilizado para implantar um malware disfarçado de atualização do portal. Além da Polícia de Balochistão, outras organizações, como a Polícia de Khyber Pakhtunkhwa e a Polícia de Islamabad, também foram alvo. Quatro grupos de ameaças distintos foram identificados, utilizando famílias de malware como PlugX, ShadowPad, Cobalt Strike e Remcos RAT. A atividade é notável por envolver tanto aliados quanto adversários do Paquistão, indicando um alto valor estratégico das informações coletadas. A convergência de múltiplos atores de espionagem cibernética contra instituições de segurança de um único estado destaca a importância dessas organizações na segurança interna do país.

Desde meados de 2025, um ator de ameaças alinhado à China, identificado como TA416, intensificou suas atividades contra organizações governamentais e diplomáticas na Europa, após um período de dois anos com pouca atividade na região. Pesquisadores da Proofpoint relataram que as campanhas de TA416 incluem múltiplas ondas de entrega de malware e web bugs direcionadas a missões diplomáticas da União Europeia e da OTAN. O grupo tem utilizado técnicas sofisticadas, como o abuso de páginas de desafio do Cloudflare e redirecionamentos OAuth, além de atualizar frequentemente seu payload PlugX. Além disso, TA416 também tem realizado campanhas no Oriente Médio, possivelmente para coletar informações sobre o conflito entre EUA, Israel e Irã. As táticas observadas incluem o uso de arquivos de projeto C# para facilitar a entrega do malware, que é conhecido por estabelecer canais de comunicação criptografados com servidores de comando e controle. A evolução das operações cibernéticas chinesas, que se tornaram mais adaptativas e centradas na identidade, destaca a necessidade de vigilância constante por parte das organizações, especialmente aquelas que operam em setores críticos.

Recentemente, os setores de telecomunicações e manufatura em países da Ásia Central e do Sul têm sido alvo de uma campanha de ciberataques que distribui uma nova variante do malware PlugX, também conhecido como Korplug ou SOGU. Pesquisadores da Cisco Talos identificaram que essa nova variante compartilha características com os backdoors RainyDay e Turian, incluindo o uso de aplicações legítimas para o carregamento de DLLs maliciosas. A configuração do PlugX, que normalmente segue um formato específico, foi alterada para se assemelhar à estrutura utilizada pelo RainyDay, um backdoor associado ao grupo de ameaças Lotus Panda, vinculado à China. Além disso, o PlugX é um Trojan de Acesso Remoto (RAT) amplamente utilizado por grupos de hackers alinhados à China, como o Mustang Panda. As evidências sugerem uma possível conexão entre os grupos Lotus Panda e BackdoorDiplomacy, ambos focados em telecomunicações e países da Ásia do Sul. Os ataques geralmente envolvem o abuso de executáveis legítimos para carregar DLLs maliciosas que, por sua vez, executam os payloads do PlugX. A análise também destaca o malware Bookworm, utilizado pelo Mustang Panda, que permite controle extenso sobre sistemas comprometidos e se disfarça em tráfego de rede normal. Essa situação levanta preocupações sobre a segurança cibernética em setores críticos, especialmente no contexto de conformidade com a LGPD no Brasil.