Turla

O grupo de hackers russo Turla, vinculado ao serviço de segurança FSB, atualizou seu backdoor Kazuar, transformando-o em uma botnet modular e peer-to-peer (P2P) projetada para acesso furtivo e persistente a sistemas comprometidos. Essa evolução, conforme relatado pela Microsoft, visa garantir acesso de longo prazo para coleta de inteligência, especialmente em setores governamentais e de defesa na Europa e na Ásia Central.

O Kazuar agora possui uma arquitetura modular composta por três tipos de módulos: o Kernel, que coordena as atividades da botnet; o Bridge, que atua como um proxy entre o Kernel e o servidor de comando e controle (C2); e o Worker, responsável por coletar dados e executar tarefas. Essa estrutura modular permite uma configuração flexível e reduz a visibilidade das operações, aumentando a eficácia do malware.

Pesquisadores de cibersegurança da ESET identificaram uma colaboração entre os grupos de hackers russos Gamaredon e Turla, ambos associados ao Serviço Federal de Segurança da Rússia (FSB), visando entidades ucranianas. Em fevereiro de 2025, ferramentas do Gamaredon, como PteroGraphin e PteroOdd, foram utilizadas para executar o backdoor Kazuar do grupo Turla em sistemas na Ucrânia. O Kazuar, um malware frequentemente atualizado, é conhecido por sua capacidade de espionagem e coleta de dados. A ESET observou que o PteroGraphin foi usado para reiniciar o Kazuar após falhas, indicando uma estratégia de recuperação. Além disso, em abril e junho de 2025, foram detectadas implantações do Kazuar v2 através de outras ferramentas do Gamaredon. A invasão da Ucrânia pela Rússia em 2022 parece ter intensificado essa colaboração, com foco em setores de defesa. Os ataques têm como alvo informações sensíveis, utilizando técnicas como spear-phishing e arquivos LNK maliciosos. A ESET alerta que a combinação de ferramentas e a troca de informações entre os grupos aumentam o risco para as entidades ucranianas, e a situação requer atenção contínua.