Três grupos distintos, suspeitos de atuar em espionagem cibernética a serviço da Rússia, foram observados explorando fluxos legítimos de autenticação para identificar pessoas que trabalham na academia, no setor aeroespacial e de defesa, em governos e think tanks na Europa, além de membros da academia e de think tanks nos Estados Unidos.
Esses grupos incluem UNC6293, UNC7005 e UNC5976.
"Esses grupos conduzem campanhas persistentes e adaptativas de phishing, usando táticas sofisticadas de engenharia social para comprometer contas pessoais em múltiplas plataformas", afirmaram os pesquisadores Gabby Roncone e Wesley Shields, do Google Threat Intelligence Group (GTIG), em relatório publicado hoje.
O UNC6293, detalhado pela primeira vez pela gigante de tecnologia e pelo Citizen Lab em junho de 2025, é classificado como um subgrupo de Ice Relic, anteriormente conhecido como APT29, também monitorado pelos nomes Cozy Bear e Midnight Blizzard. O grupo de hackers já havia sido atribuído a uma campanha que abusou de um recurso de contas do Google chamado senhas específicas de aplicativo para assumir o controle de contas de vítimas.
Desde então, o threat actor continuou a realizar campanhas de phishing em pequena escala, mirando menos de cinco usuários por vez, enquanto se passava por funcionários do Departamento de Estado dos EUA para aplicar phishing de senha de aplicativo. Os nomes dos aplicativos e as iscas giram em torno de temas diplomáticos e de conferências ou reuniões futuras, algumas delas destacadas pela Volexity em dezembro de 2025.
Em junho de 2026, o Google informou ter observado o threat actor realizando phishing de OAuth ao solicitar que os alvos compartilhassem a URL completa ou um código de verificação após fazerem login legítimo em um provedor externo. Assim que o código de verificação é fornecido, os atacantes passam a acessar a conta da vítima.
O UNC5976, segundo grupo focado em autenticação, foi visto usando técnicas de phishing de OAuth e automatizando a coleta de token por meio do abuso de infraestrutura em cloud. Acredita-se que o adversário esteja ativo desde, pelo menos, março de 2026.
"Para executar essas campanhas de phishing de OAuth, o UNC5976 comprou domínios, normalmente com nomes relacionados ao compartilhamento de arquivos, e então criou um projeto em cloud associado a esse domínio", disse o GTIG. "Esses domínios hospedam uma página falsa de compartilhamento de arquivos. Depois que o alvo visita a página por alguns segundos, ela exibe uma janela pop-up de login."
A janela apresenta um botão "Continuar com o Google" que, ao ser clicado, redireciona a vítima para a página legítima de login do Google OAuth, solicitando que ela faça login para continuar. Após a autenticação bem-sucedida, a vítima é enviada para uma URL de projeto do Google Cloud que hospeda scripts maliciosos projetados para capturar o token de autenticação da URL e prepará-lo para uso posterior.
Estima-se que o threat actor tenha criado ao menos 12 novos domínios e a infraestrutura relacionada desde março de 2026, todos posteriormente desativados pelo Google. As ações teriam levado o UNC5976 a migrar para outras provedoras de infraestrutura para hospedar suas páginas de phishing.
Além disso, o UNC5976 foi observado usando um plugin malicioso de Excel, codinome HEADRUSH, empregado para entregar um arquivo HTML Application (HTA) baixado. O malware, descoberto em abril de 2026, é distribuído por meio de um domínio falso que se passa por um instituto de pesquisa ucraniano. Há indícios de que o artefato pode ter sido usado para atingir uma empresa ucraniana dos setores aeroespacial e de imagem, embora o alcance total da infecção permaneça desconhecido.
"Seu foco operacional está centrado principalmente no meio militar, no setor aeroespacial, na base industrial de defesa e em ONGs/think tanks", afirmou o Google. "Grande parte da segmentação geográfica do grupo concentrou-se na Ucrânia e na Armênia."
UNC7005 emprega múltiplas táticas
O threat actor que se tornou o principal foco da pesquisa do GTIG é o UNC7005, também conhecido como Storm-2945, identificado em fevereiro de 2026 e observado mirando principalmente profissionais de academia, diplomacia e organizações sem fins lucrativos na Ucrânia, na Europa Ocidental e nos EUA.
Acredita-se que tanto o UNC6293 quanto o UNC7005 estejam ligados a um subgrupo de Ice Relic voltado para operações de acesso inicial, recorrendo a proxies residenciais comerciais para atividades após o comprometimento. Assim como o UNC6293, o UNC7005 realizou operações altamente seletivas de phishing de senha de aplicativo contra indivíduos de interesse do Kremlin.
O grupo de hackers também conduziu operações de phishing de código de dispositivo mirando contas da Microsoft e do WhatsApp, sendo que, no primeiro caso, usou e-mails de phishing com convites para eventos diplomáticos e conferências. As mensagens inserem um link para um site controlado pelo atacante, que perfila o visitante e depois solicita que ele confirme sua participação no evento e informe sua principal opção de prato e vinho.
Vale notar que o uso de iscas relacionadas a vinho é um tema recorrente nos ataques do Ice Relic desde abril de 2023. Alguns aspectos da atividade receberam o codinome SPIKEDWINE pela Zscaler.
"Em maio e junho de 2026, o UNC7005 conduziu operações de engenharia social se passando pelo WhatsApp", disse o Google. "As páginas de phishing distribuídas pelo atacante induzem os alvos a vincular suas contas do WhatsApp a um dispositivo controlado pelo atacante para participar de uma chamada segura, de um chat ou de um compartilhamento de documento. O atacante também tenta vários outros métodos de comprometimento depois que o dispositivo é vinculado."
Depois que a página é acessada, o alvo é solicitado a informar um número de telefone. Esse número é então usado para criar uma solicitação legítima de vinculação de dispositivo do WhatsApp com o dispositivo do atacante, após o que a página exibe o QR code e o código de vinculação legítimos ao alvo, junto com instruções para que o usuário vincule seu dispositivo.
Depois que a conta da vítima é vinculada com sucesso ao dispositivo do WhatsApp do atacante, a página de phishing apresenta uma solicitação adicional para que o usuário entre em uma chamada de voz, em um chat criptografado ou faça o download de um arquivo. Se a vítima entra na chamada de voz, isso dispara a execução de JavaScript para gravar áudio e vídeo e enviar a gravação para um endpoint de command and control (C2).
Se a opção de chat criptografado for escolhida, o JavaScript orienta o alvo a copiar o nome de usuário e a senha apresentados para fazer login em uma URL secundária. A natureza exata do arquivo em download permanece desconhecida.
Por volta de maio de 2026, o UNC7005 também teria ampliado suas técnicas com infostealers de prateleira, como Vidar e Atomic, também conhecido como AMOS, para extrair dados de hosts Windows e macOS. O alvo eram acadêmicos, diplomatas e pesquisadores nos EUA que estudam a Rússia e ex-estados soviéticos, por meio de e-mails com links para URLs maliciosas. A URL leva a uma página que imita uma cúpula relacionada a uma "resolução em apoio à Ucrânia", incentivando o download de um aplicativo acompanhante do evento para ler a resolução completa.
"No início de agosto de 2026, o UNC7005 iniciou operações de phishing de OAuth em contas do Google usando infraestrutura em cloud", disse o GTIG. "A partir de 31 de julho de 2026, o UNC7005 registrou domínios que imitavam o legítimo Finnish Operations Center (FOC), que apoia empresas finlandesas nos mercados de defesa e segurança, especificamente no contexto da Organização do Tratado do Atlântico Norte (NATO)."
"Entre 6 e 13 de agosto de 2026, o UNC7005 enviou e-mails de phishing direcionados, com links para um domínio controlado pelo atacante, a alvos localizados ou relacionados à indústria de defesa europeia."
Usuários que acabam acessando o domínio são redirecionados para uma página legítima de login do Google OAuth, que solicita o acesso à conta. Após a autenticação bem-sucedida, as vítimas são enviadas para um projeto em cloud não verificado, controlado pelo atacante, para roubar token de autenticação e permitir que o threat actor sequestre suas contas.
Esses esforços também se conectam a uma campanha chamada CaptiveCrunch, documentada pela ReliaQuest e pela Microsoft no fim do mês passado. A atividade mira especificamente portais cativos de Wi-Fi em locais como hotéis, centros de conferência e aeroportos nos EUA e em outros países, com o objetivo de redirecionar usuários discretamente para infraestrutura controlada pelo atacante e roubar credenciais.
A operação envolve obter acesso administrativo aos gateways de Wi-Fi para alterar a configuração dos dispositivos e usar envenenamento de DNS para desviar o tráfego normal da web e encaminhar as conexões de domínios legítimos por meio de infraestrutura controlada pelo atacante. Segundo a Microsoft, os ataques de manipulação de tráfego ocorrem desde o início de maio de 2026.
"Parte dessa atividade explora domínios doppelganger que imitam serviços online da Microsoft para conduzir operações subsequentes de phishing adversary-in-the-middle (AitM), abusando do fluxo de autenticação por código de dispositivo no Microsoft Entra ID", observou a Microsoft.
Além de redirecionar usuários por meio de infraestrutura de phishing controlada pelo grupo, o threat actor também abusou de sua posição AitM para distribuir malware que se apresenta como atualizações do navegador ou do sistema operacional em resposta a verificações automáticas de conectividade feitas pelos navegadores das vítimas.
Isso pode levar à implantação de um trojan de acesso remoto baseado em Go chamado CornFlake RAT ou de um payload em PowerShell apelidado de ChocoShell, também conhecido como CHERRYPIE, entregue por meio de uma isca ClickFix. O trojan foi criado para realizar enumeração do sistema, coletar arquivos e teclas digitadas, roubar credenciais e token de sessão, conduzir vigilância de áudio e vídeo, monitorar mídias removíveis e abrir um shell remoto em sistemas infectados.
Já o ChocoShell é um infostealer baseado em PowerShell usado para roubar cookies de sessão do navegador, contornando as proteções de criptografia vinculada ao aplicativo do Chrome, além de senhas salvas, token de SSO do Microsoft 365 e credenciais de Wi-Fi de sistemas comprometidos. Evidências indicam que o malware provavelmente foi gerado por um modelo de linguagem grande (LLM).
Toda a operação é gerenciada por meio de um painel C2 centralizado, baseado na web, conhecido como FruitStone. Ele é apresentado como "CloudSync Console" e associado à empresa "Acuity Systems, Inc.", provavelmente numa tentativa de parecer um software legítimo de gestão em cloud e escapar da detecção.
"Implementado como uma aplicação de página única (HTML e JavaScript) que serve de interface do servidor C2 com toda a funcionalidade exposta sem autenticação, o FruitStone fornece um painel centralizado para gerenciar endpoints comprometidos, criar e implantar novos payloads de campanha e revisar todos os dados coletados, como capturas de tela, teclas digitadas e credenciais de navegador", disse a Microsoft.
As descobertas mais recentes do GTIG indicam que o CaptiveCrunch não ocorreu "no vácuo" e que o UNC7005 vem executando várias campanhas em paralelo para obter acesso às contas das vítimas.
CaptiveCrunch e possível ataque à supply chain
Além disso, o monitoramento contínuo da Lumen Black Lotus Labs sobre a mesma campanha levantou a possibilidade de que o threat actor tenha comprometido vários provedores de serviços gerenciados (MSPs) e então abusado da relação de confiança com seus clientes em um ataque à supply chain.
"Uma vez dentro das redes dos clientes, eles poderiam mirar viajantes sequestrando solicitações DNS em um roteador Wi-Fi comprometido; as vítimas eram redirecionadas para portais de autenticação falsos para coletar token de OAuth, ou o ator implantava um infostealer", afirmou a empresa em relatório compartilhado com os meios de comunicação.
CaptiveCrunch provavelmente mira MSPs
Dados de telemetria da Lumen identificaram aproximadamente 70 endereços IP de vítimas, dos quais 40 IPs únicos enviaram solicitações DNS aos C2 associados ao CaptiveCrunch. "Avaliamos que esses locais indicam pontos onde o ator teve acesso e realizou alguma enumeração, provavelmente redirecionando solicitações DNS para seus resolvedores para verificar se viajantes individuais nesses locais seriam de maior interesse", acrescentou.
Outros 30 endereços IP únicos foram encontrados se comunicando com a infraestrutura AitM do threat actor para coletar token, enquanto um único endereço IP foi observado interagindo com o servidor C2 do ChocoShell.
"Esses grupos de operações de espionagem cibernética da Rússia focados em autenticação miram múltiplos tipos de autenticação usando recursos e infraestrutura legítimos, indo de senhas de aplicativo a vinculação de dispositivos", afirmou o GTIG. "Em particular, o uso criativo de recursos legítimos para comprometer contas torna mais difícil acompanhar o acesso legítimo e o malicioso a contas."
"A combinação dessas táticas não apenas permite ao atacante realizar exfiltração rápida, como também abre oportunidades para continuar aplicando phishing contra alvos de interesse a partir de contas legítimas já comprometidas."
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...