Um grupo hacktivista alinhado à Bielorrússia permaneceu por quase dois anos na rede de uma organização russa da área da saúde.
Segundo um relatório da empresa russa de cibersegurança Solar, a atividade foi atribuída a um cluster de ameaças chamado Partisan Zmiy, também conhecido como Cyber Partisans.
Ativo pelo menos desde 2020, o grupo tem histórico de ataques a empresas industriais e órgãos governamentais da Rússia e da Bielorrússia. Para isso, usa um backdoor chamado Vasilek, que recorre ao Telegram para comunicação com o C2 e exfiltração de dados.
Alguns ataques também usaram iscas de phishing para distribuir um instalador que instala no sistema, ao mesmo tempo, o programa legítimo FortiClient VPN e o programa open source DNSCat2, que permite aos invasores controlar o dispositivo infectado.
Uma característica marcante desse threat actor é a capacidade de preparar ataques destrutivos com um wiper chamado Pryanik, além de apagar sistematicamente os logs de eventos do Windows usando um utilitário chamado Evlx.
A Solar, subsidiária da Rostelecom, informou que identificou a invasão em dezembro de 2025, embora as evidências indiquem que os primeiros sinais de comprometimento remontam ao início de 2024. O nome da organização atingida não foi divulgado. Também não se sabe qual foi o vetor inicial de acesso usado para invadir a rede.
Diferentemente de outros ataques atribuídos aos Cyber Partisans, os invasores permaneceram na rede por um período prolongado sem realizar ações destrutivas, o que representa uma mudança em seu modo de operação.
“A organização atacada tinha uma infraestrutura extensa e relações de confiança bidirecionais com diversas instituições médicas subsidiárias”, afirmou a Solar. “Nossa hipótese é que a ausência de interrupções na infraestrutura se deve justamente ao valor desse acesso para futuras atividades de espionagem e ataques por meio dessas relações de confiança.”
Durante a invasão, foi identificado um serviço de carregamento e agendamento chamado “vmauad”, que se disfarçava de componente legítimo do VMware para manter a persistência e escapar de inspeções superficiais. Para isso, os invasores teriam aproveitado uma pasta do VMware Tools considerada confiável, mas não monitorada, para instalar executáveis maliciosos ou substituir DLLs legítimas do VMware por uma versão maliciosa chamada “vmtools.dll”, que continha o backdoor.
A principal função do serviço do Windows é iniciar o arquivo malicioso “C:\Program Files\VMware\VMware Tools\authd.exe”. Além de abrir um túnel GOST todos os sábados, das 22h às 23h, o arquivo executa uma versão atualizada do Vasilek, a 1.5.8, uma única vez, oito horas após o início do serviço.
Depois de instalado, o Vasilek consegue coletar informações sobre o computador infectado, executar comandos do Windows, iniciar e encerrar processos, transferir arquivos, capturar imagens da tela, registrar teclas digitadas e elevar privilégios por meio do runas. O backdoor também pode impedir que o computador entre em modo de suspensão, além de atualizar ou remover a si próprio.
Uma novidade é o comando “move_cursor”, que, como o nome sugere, move o cursor e simula a interação do usuário na tela da vítima.
“O grupo investe continuamente em furtividade e segurança operacional, em vez de desenvolver novos recursos: vinculação ao nome do computador em dois componentes independentes, execução noturna agendada de payloads, herança das configurações de proxy do sistema, disfarce como software instalado legitimamente, mas não utilizado, alternância de arquivos nos mesmos caminhos, alteração de datas e horários dos arquivos, supressão de mensagens enviadas e envio de mensagens anônimas em nome do grupo nas conversas dos operadores”, afirmou a Solar.
“Os recursos do backdoor permaneceram praticamente inalterados ao longo de quatro versões. Como provedores de internet bloqueiam o Telegram na Rússia, a comunicação entre o backdoor Vasilek e o C2 tornou-se instável.”
A divulgação ocorre enquanto a Solar também revela detalhes de uma campanha de phishing que usa anexos JavaScript disfarçados de documentos comerciais, como comprovantes de pagamento e pedidos de compra, para distribuir uma família de malware até então não identificada, chamada HypeAgent.
O malware para Windows é um trojan completo, criado para assumir o controle total dos sistemas infectados. Entre seus recursos estão roubar arquivos, abrir um console, alterar o papel de parede da área de trabalho, ativar a webcam, registrar teclas digitadas, iniciar sessões ocultas de VNC e RDP, controlar o mouse e até instalar um minerador de criptomoedas.
O malware também pode roubar cookies associados a Discord, Steam, GitHub, Instagram, Telegram, Binance, ChatGPT, Claude e Cursor. Além disso, pode adulterar o aplicativo de carteira Exodus instalado no dispositivo para inserir JavaScript capaz de coletar a senha, o PIN, a frase mnemônica e a chave privada da vítima.
Em junho, a Solar também observou uma infraestrutura legítima comprometida pelo malware da botnet de proxyware ProxyCB, que fazia requisições automatizadas a sites e plataformas on-line russos. A empresa também identificou possíveis vínculos entre a infraestrutura da botnet e atividades históricas associadas ao TeamSpy, um cluster de ameaças conhecido por abusar do TeamViewer para realizar reconhecimento e roubar dados.
No mês passado, o Departamento de Justiça dos Estados Unidos (DoJ) acusou Searzhudin Tamirlanovich Aktulaev, cidadão russo de 40 anos extraditado de Chipre em maio de 2025. Segundo a acusação, em 2016 e 2017 ele explorou o serviço de mensagens de uma conhecida plataforma de trabalho autônomo para enviar anexos maliciosos do Excel a cerca de 80.000 usuários, usando 255 contas falsas.
Os ataques levaram à instalação de dois tipos de malware: uma variante do TVRAT, também conhecido como Sheldor, SpyAgent, TeamBot, TeamSpy e TVSPY, e o DarkVNC. Os programas coletavam dados dos computadores das vítimas e os enviavam a um servidor remoto controlado pelo invasor. Estima-se que milhares de computadores tenham sido infectados como resultado da operação.
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...