Autoridades sul-coreanas e quatro empresas de segurança revelaram uma campanha patrocinada por um Estado que comprometeu sites domésticos considerados confiáveis.
Os invasores usaram essas páginas para explorar software de segurança financeira instalado localmente e infectar visitantes-alvo com backdoors SIGNBT ou COPPERHEDGE.
Uma página comprometida podia infectar um sistema com uma versão vulnerável do AnySign4PC sem exibir aviso ou exigir qualquer download iniciado pelo usuário.
A Korea Internet & Security Agency (KISA) informa que as versões 1.1.4.4 a 1.1.4.6 do AnySign4PC estão afetadas e indica a versão 1.1.5.0 como a correção disponível.
A agência recomenda remover as instalações vulneráveis.
A AhnLab se refere a dois produtos explorados apenas como software de segurança financeira A e I.
O relatório não revela quais são, nem informa versões afetadas ou corrigidas, tampouco os identificadores das vulnerabilidades.
Segundo a AhnLab, foram encontrados indícios de ataques relacionados em 72 organizações em 2026.
A empresa também identificou 15 sites legítimos usados como watering holes.
A investigação ainda encontrou sobreposição com ataques que terminaram com o ransomware Gunra.
Entre as evidências compartilhadas estavam a mesma vulnerabilidade de acesso inicial, nomes de arquivos de malware e padrões de execução idênticos, a impressão digital de uma chave SSH e a mesma infraestrutura de rede.
A AhnLab afirma que isso não prova que um único ator tenha conduzido as duas operações.
O relatório também não explica quais critérios colocaram uma organização na contagem, de modo que os 72 casos não representam um total de compromissos igualmente confirmados.
O alerta não nomeia o grupo patrocinado por um Estado.
Bastava visitar a página.
O alerta conjunto foi publicado pela KISA, pelo Serviço Nacional de Inteligência, pela Agência Nacional de Polícia e pelo Instituto de Segurança Financeira, com base em análises conduzidas com AhnLab, S2W, ENKI Whitehat e Plainbit.
A KISA informou que campanhas de phishing e ataques de watering hole patrocinados por um Estado desse tipo continuam sendo identificados.
Os relatórios públicos não dizem se os invasores seguiram explorando o AnySign4PC depois que a versão 1.1.5.0 foi disponibilizada.
Os invasores enviaram mensagens de spear phishing disfarçadas de currículos, abordagens de recrutamento, material de investimento e pesquisas do setor.
Eles também comprometeram sites de notícias, saúde, educação, manufatura e páginas menores, com segurança fraca, que as vítimas pretendidas provavelmente visitariam.
A ENKI Whitehat identificou o AnySign4PC, software usado para assinaturas eletrônicas baseadas em certificados, como um dos produtos vulneráveis e disse que os invasores exploraram uma falha zero-day.
A empresa observou a atividade a partir da segunda metade de 2025, antes de a KISA publicar seu aviso de patch em junho de 2026.
O relatório Operation Double Barrel, da AhnLab, descreve uma cadeia de exploit que usava quatro imagens PNG para trocar chaves, verificar a versão instalada do software, entregar código de exploit específico para cada versão e informar se a execução havia sido bem-sucedida.
A página maliciosa se comunicava com o programa de segurança local por WebSocket e acionava um estouro de buffer para executar shellcode.
Em seguida, o payload era injetado em processos legítimos da Microsoft.
Dependendo da intrusão, os invasores instalavam o Struggle, que a AhnLab mapeia como SIGNBT 3.0, ou o Brandoor, nome que a empresa usa para o backdoor COPPERHEDGE.
O malware permitia execução remota de comandos, roubo de arquivos, reconhecimento interno, injeção de processos e entrega de payloads adicionais.
A Plainbit reconstruiu de forma independente um dos incidentes de watering hole em seu relatório forense.
Os invasores mapearam os sistemas expostos à internet da vítima, comprometeram o site, instalaram uma webshell e inseriram JavaScript em uma página legítima de notícia.
Quando o alvo acessava a página, o programa de segurança vulnerável gerava um erro e criava uma DLL maliciosa sem exigir download ou qualquer outra interação do usuário.
O backdoor resultante descriptografava etapas posteriores na memória, injetava código em svchost.exe e lia informações de command and control no Registro do Windows.
Em seguida, os invasores usaram exploits de elevação de privilégio, o Mimikatz e outras ferramentas de credenciais, conexões do Remote Desktop Protocol e o NLBrute para se mover pela rede.
A análise da S2W, baseada em três clusters de malware, encontrou um padrão recorrente de DLL side-loading, blobs criptografados no Registro e carregamento de Portable Executable em memória.
Dois clusters implantaram versões 0.0.1 e 1.2 do SIGNBT, enquanto um terceiro loader descriptografou um payload externo que os pesquisadores não conseguiram recuperar.
A trilha do Gunra
Uma intrusão do ransomware Gunra, em março de 2026, usou o mesmo site de saúde comprometido e a mesma vulnerabilidade no produto que a AhnLab chama de software de segurança financeira A.
Tanto a cadeia patrocinada por um Estado quanto a do ransomware então injetaram código em SyncHost.exe.
A AhnLab não identifica o software A, portanto o relatório não estabelece que a vulnerabilidade ligada ao Gunra fosse o AnySign4PC.
A AhnLab também constatou que as duas operações usaram os nomes de arquivo net.tmp e inet.tmp.
O argumento inet.tmp era idêntico, enquanto os argumentos de net.tmp seguiam um formato semelhante de GUID.
Ambas usaram a mesma impressão digital de chave pública SSH, Qr1to32lQHxEu6phzNyrTZrU0iElrOfVWMBLnqoen24.
Também recorreram ao mesmo endereço de reverse tunnelling, 176.65.128[.]26.
O domínio jshosting[.]me foi usado para distribuir scripts de exploit nos dois conjuntos de ataques.
Os invasores também seguiram o mesmo procedimento de anti-forense, renomeando arquivos maliciosos para nomes aleatórios de quatro caracteres antes de apagá-los.
A Plainbit observou nova destruição de evidências com SDelete e CCleaner.
A AhnLab avaliou que as evidências indicam um provável vínculo técnico, mas disse não conseguir determinar a relação entre os operadores.
A empresa listou várias possibilidades, incluindo colaboração limitada, ferramentas ou infraestrutura compartilhadas, uso de um corretor de acesso comum ou acesso aos mesmos recursos operacionais.
As sobreposições mostram um caminho de acesso compartilhado ou reutilizado, do site comprometido até a execução nos hosts e a infraestrutura de apoio.
Elas não demonstram que o mesmo operador controlou os dois ataques.
Segundo pesquisa separada da S2W, o Gunra opera como um programa de ransomware-as-a-service.
A empresa informou que a operação havia afetado 32 empresas até 9 de março de 2026, incluindo cinco negócios sul-coreanos, e havia migrado de ransomware derivado do Conti para suas próprias versões para Windows e Linux.
A atribuição não chega ao Lazarus
O alerta governamental atual e o relatório Operation Double Barrel descrevem o operador focado em espionagem apenas como um grupo de ameaça patrocinado por um Estado.
Nenhum dos dois documentos atribui formalmente toda a campanha de 2025 a 2026 ao Lazarus, e nenhum conecta o Lazarus ao Gunra.
A AhnLab, no entanto, atribuiu em abril, em outro relatório, um ataque de watering hole ao AnySign4PC ocorrido em março de 2026 ao Lazarus.
A Kaspersky também documentou o uso de watering holes, software de segurança sul-coreano, SIGNBT e COPPERHEDGE pelo Lazarus durante a operação anterior SyncHole.
Esses relatórios mostram o uso prévio, pelo Lazarus, do AnySign4PC, do SIGNBT, do COPPERHEDGE e da exploração de watering holes.
Eles não atribuem a operação Double Barrel nem as intrusões do Gunra ao Lazarus.
Corrija o software e monitore o comportamento
O aviso de segurança da KISA de 1º de junho identifica as versões 1.1.4.4 a 1.1.4.6 do AnySign4PC como vulneráveis a um estouro de buffer que permite execução remota de código.
A versão 1.1.5.0 aparece como a correção disponível, e a agência recomenda remover as instalações vulneráveis.
Os relatórios recomendam caçar carregamento suspeito de DLL por executáveis legítimos, dados criptografados armazenados em entradas do Registro de serviços, execução de PE em memória, criação incomum de serviços, injeção em SyncHost.exe ou svchost.exe e túneis SSH de saída inesperados.
A ENKI constatou que seu backdoor Type 1 apagava a configuração do Registro, o loader e os arquivos do backdoor depois de copiá-los para a memória quando executado nos modos 1, 2, 4 ou 5 com autoproteção ativada.
Depois da inicialização, os arquivos desapareciam do disco até que um encerramento limpo os gravasse novamente, e o loader restaurado tinha um hash diferente.
Isso torna a telemetria comportamental mais útil do que indicadores baseados em arquivo estático.
A Plainbit observou uma cadeia de persistência em que uma tarefa agendada chamada RuntimeBroker iniciava o task.vbs, que por sua vez executava um cliente SSH renomeado como SearchHost.exe para estabelecer um reverse tunnel.
A S2W recomenda preservar a memória dos processos, linhas de comando, valores do Registro, eventos de carregamento de DLL e registros de rede antes de encerrar processos ou isolar sistemas.
A AhnLab também descobriu que vários sites comprometidos estavam ligados à mesma empresa de desenvolvimento e gestão, o que descreveu como uma possível rota de supply chain.
As evidências disponíveis não mostram que o código-fonte da empresa, o processo de atualização de software ou a plataforma central de gerenciamento tenham sido comprometidos.
O aviso da KISA de 1º de junho não lista um identificador CVE para a falha do AnySign4PC.
Em 30/07/2026, encontrou-se apenas o
CVE-2020-7882
em buscas públicas no programa CVE e no NVD para o AnySign4PC, uma vulnerabilidade de travessia de diretório sem relação com versões mais antigas.
Isso não descarta um identificador reservado, ainda não publicado ou descrito de outra forma.
O software A e I da AhnLab seguem não identificados no relatório, que também não revela suas versões afetadas ou corrigidas.
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...