PacificNews#232: The Office

Grupo de ciberespionagem Tomiris e suas novas técnicas de ataque

O grupo russo de ciberespionagem Tomiris vem utilizando novas ferramentas e técnicas em uma campanha contínua contra ministérios das Relações Exteriores, organizações intergovernamentais e órgãos governamentais da Comunidade dos Estados Independentes (CEI).

A infecção começa, como em operações anteriores, com e-mails de phishing que trazem anexos maliciosos protegidos por senha. Esses arquivos contêm executáveis disfarçados de documentos legítimos por meio da manipulação de nomes e extensões, ocultando sua verdadeira natureza.

Segundo a Kaspersky, duas mudanças táticas marcam os ataques recentes: (i) o uso de plataformas de mensagens como Telegram e Discord para rotear tráfego de comando e controle (C2), camuflando atividades maliciosas; e (ii) a implantação de malware escrito em múltiplas linguagens, aumentando sigilo e adaptabilidade.

Implantes em Go, Rust, C, C++, C#, Python e outras linguagens são usados para distribuir payloads de segundo estágio, frequentemente os frameworks de C2 de código aberto Havoc ou AdaptixC2, que permitem controle direto dos sistemas comprometidos.

“A evolução nas táticas ressalta o foco do grupo em sigilo, persistência e no direcionamento estratégico a organizações governamentais”, afirmou a Kaspersky, destacando a necessidade de técnicas avançadas de detecção, como análise comportamental e inspeção de tráfego.

Contornando regras de segurança de LLMs com… Sintaxe

Pesquisadores do MIT, da Northeastern University e da Meta divulgaram recentemente um estudo sugerindo que grandes modelos de linguagem (LLMs), como os utilizados pelo ChatGPT, às vezes priorizam a estrutura das sentenças em vez do significado ao responder perguntas. Eles observaram que, mesmo quando recebem perguntas com padrões gramaticais preservados, mas palavras sem sentido, como “Quickly sit Paris clouded?” imitando “Where is Paris located?”, os modelos ainda respondem “França”. Isso indica uma fragilidade na forma como esses modelos processam instruções, possivelmente explicando por que certas técnicas de prompt injection ou jailbreak funcionam, embora parte da análise sobre modelos comerciais ainda seja especulativa, já que seus dados de treinamento não são públicos.

Segundo os pesquisadores, os modelos absorvem tanto significado quanto padrões sintáticos, mas podem depender excessivamente dessas “curvas estruturais” quando elas aparecem correlacionadas ao longo do treinamento, permitindo que a forma da frase às vezes se sobreponha à compreensão semântica. É claro que a semântica depende muito do contexto e, navegar pelo contexto é que permite com que LLMs funcionem. 

Para validar suas hipóteses, os pesquisadores fizeram um experimento controlado: uma série de prompts sintéticos onde cada área observada tenha uma forma gramatical única, baseada em um jeito de falar. Por exemplo, questões de geografia seguiam uma estrutura definida, enquanto perguntas sobre trabalho criativo seguia outra. Então, treinaram o modelo “Allen AI Olmo” neste dataset para validar se ele conseguia separar sintaxe e semântica. 

A análise revelou que, nesses casos extremos, os modelos tratam a sintaxe como um atalho para identificar o domínio da pergunta. Quando padrão e significado entram em conflito, a memória dos “formatos” gramaticais pode se sobrepor à interpretação semântica, levando a respostas erradas guiadas pela estrutura e não pelo sentido real. Em termos simples, isso mostra que modelos de IA podem se apegar demais ao estilo da pergunta. 

Isso cria dois problemas: modelos que dão respostas erradas em contextos pouco familiares e agentes de ameaças que exploram estes padrões para contornar regras de segurança, envolvendo requisições maliciosas em estilos gramaticais aparentemente seguros. A equipe, inclusive, chamou este comportamento de “hack de sintaxe", ao adicionar padrões gramaticais típicos de domínios benignos antes dos prompts, conseguiram contornar filtros de segurança no OLMo-2-7B-Instruct. 

Em alguns dos exemplos, os pesquisadores conseguiram gerar instruções detalhadas para atividades maliciosas, como um passo a passo para tráfico de órgãos ou métodos de transportar produtos ilícitos entre Colômbia e Estados Unidos.

Rede de falsos trabalhadores remotos é exposta em investigação

Uma investigação conjunta da BCA LTD, da NorthScan e da plataforma de análise ANY.RUN revelou como o grupo norte-coreano Lazarus segue explorando processos de contratação remota para infiltrar operadores em empresas ocidentais. Pela primeira vez, pesquisadores observaram os agentes da divisão Famous Chollima atuando ao vivo em máquinas que acreditavam ser de desenvolvedores legítimos mas que, na verdade, eram ambientes de sandbox virtuais, totalmente controlados e de longa duração, criados pela ANY.RUN.

A operação começou quando Heiner Garcia, da NorthScan, se fez passar por um desenvolvedor dos EUA e foi contatado por um recrutador do Lazarus usando o pseudônimo “Blaze”. Blaze tentou contratar o falso desenvolvedor como um intermediário. Esta é uma tática do Chollima para inserir trabalhadores de TI norte-coreanos em empresas estrangeiras, principalmente nos setores de finanças, criptomoedas, saúde e engenharia. O esquema seguia um padrão claro: roubar ou tomar emprestada uma identidade, passar em entrevistas com o auxílio de IA e trabalhar remotamente pela máquina da vítima para então canalizar o salário de volta para a Coreia do Norte.

A equipe de pesquisa implantou máquinas virtuais configuradas para simular estações de trabalho pessoais ativas. A equipe tinha controle total, podendo forçar falhas e registrar cada movimento sem alertar os operadores. Nos ambientes virtuais, encontraram um conjunto de ferramentas focado em roubo de identidade e acesso remoto. Além disso, ferramentas de IA para automação de empregos, para preenchimento de candidaturas e geração de respostas em entrevistas, geradores de OTP baseados em navegador para lidar com a autenticação de dois fatores das vítimas e o Google Remote Desktop, configurado via PowerShell para controle persistente do host. O tráfego era sempre roteado pelo Astrill VPN.

Em uma das sessões, o operador deixou uma mensagem no bloco de notas pedindo ao “desenvolvedor” que enviasse sua identidade, SSN e dados bancários, confirmando o objetivo de tomada total da identidade e da estação de trabalho, sem a necessidade de implantar malware tradicional. A investigação alerta que a contratação remota se tornou um ponto de entrada para ameaças baseadas em identidade. Uma vez dentro da organização, o infiltrado pode ganhar acesso a painéis internos e dados sensíveis, sendo necessária uma maior conscientização e canais seguros para verificação de qualquer atividade suspeita.

Patches & Updates

Austrália: Um homem de 44 anos foi condenado a 7 anos de prisão por criar uma rede de WiFi falsa em um voo doméstico e  roubar informações de passageiros, como credenciais de login de diversos serviços, vídeos e fotos privadas e outros conteúdos. O ataque, que é conhecido como “evil twin”, aconteceu em abril de 2024 por Michael Clapsis, que deverá cumprir ao menos 05 anos de prisão antes de ser elegível para liberdade condicional. 

Android: O Google lançou novas atualizações de segurança para usuários do Android, alertando que duas das vulnerabilidades corrigidas já estavam sendo exploradas em ataques. As falhas CVE-2025-48633 e CVE-2025-48572 afetam o componente Framework do sistema operacional e podem ser usadas, respectivamente, para divulgação não autorizada de informações e elevação de privilégios.

ICS: A CISA adicionou a vulnerabilidade “OpenPLC ScadaBR” em seu catálogo KEV – Vulnerabilidades Conhecidas e Exploráveis. A falha tem sido explorada por cibercriminosos em sistemas de controle industriais (ICS). OpenPLC é um controlador programável lógico de código aberto, uma solução de automação industrial de baixo custo, enquanto o ScadaBR é uma solução de código aberto que fornece interfaces homem-máquina (HMIs), oferecendo suporte a conexões com diversos PLCs, incluindo o OpenPLC. A vulnerabilidade, também chamada de CVE-2021-26829, tem média severidade, foi corrigida em junho de 2021, mas continua a ser explorada em sistemas não atualizados. Com a adição desta falha ao KEV, a CISA instruiu a todas as agências governamentais que corrijam este problema até dia 19 de dezembro.

Destaques pelo mundo

Cripto: Agências policiais da Suíça e da Alemanha desativaram o cryptomixer.io, uma das maiores plataformas usadas para ocultar rastros de transferências de bitcoin provenientes de atividades ilegais. Fundada em 2016, a empresa tornou-se um dos principais serviços de mistura de criptomoedas, movimentando receitas na casa dos bilhões de euros, em sua maior parte vinculadas a operações criminosas.

Índia: O Ministério das Telecomunicações da Índia passou a exigir que empresas que compram ou comercializam telefones usados verifiquem cada aparelho em um banco de dados central de números IMEI. A medida se soma a uma diretiva recente que obriga os fabricantes de smartphones a pré-instalar o aplicativo governamental Sanchar Saathi em todos os novos dispositivos e a disponibilizá-lo para aparelhos já em uso por meio de atualização de software. Lançado em 2023, o portal Sanchar Saathi permite que usuários bloqueiem ou rastreiem celulares perdidos ou roubados.

Extensão: Uma campanha conhecida como ShadyPanda infectou 4.3 milhões de usuários do Google Chrome e Microsoft Edge com malware, incluindo backdoors e spyware, com dados enviados diretamente para a China. Os atores maliciosos do ShadyPanda usaram uma estratégia ousada: publicaram uma série de extensões aparentemente legítimas, que acumularam milhões de downloads ao longo de vários anos, para, finalmente, fazer uma atualização em seu código que incluía malware. Uma das extensão, Clean Master, foi publicada em 2019 para, somente em 2025, infectar usuários. Uma lista completa das extensões pode ser encontrada no blog da Koi Security, que descobriu o caso.

Quer saber mais? Siga-nos nas redes sociais: Linkedin, Instagram.
Segurança nunca é demais, ainda mais nos dias de hoje.
Compartilhe o conhecimento, espalhe a segurança!

Siga nossa Newsletter e se mantenha atualizado sobre as últimas tendências em Cybersec!

Escrito por: Thaís Hudari Abib, Murilo Lopes e Cíntia Baltar
Arte: George Lopes e Anselmo Costa