Redazione RHC:4 Novembro 2025 15:27
O grupo de hackers ligado à China UNC6384 ( também conhecido como Mustang Panda ) está a realizar uma campanha de ciberespionagem em grande escala contra agências diplomáticas e governamentais europeias.
De acordo com Lobo do Ártico e Pronto para greve , os hackers estão explorando uma vulnerabilidade do Windows não corrigida relacionada aos atalhos do LNK. Os ataques foram registrados em Hungria, Bélgica, Itália, Holanda e Sérvia entre setembro e outubro de 2025.
Segundo os pesquisadores, os ataques começam com e-mails de phishing direcionados contendo URLs para malicioso LNK limas. As linhas de assunto desses e-mails geralmente se referem a Workshops de aquisição de defesa da OTAN, Reuniões da Comissão Europeia sobre facilitação de fronteiras e outros eventos diplomáticos multilaterais.
Os arquivos maliciosos exploram o CVE-2025-9491 vulnerabilidade (pontuação CVSS 7,0) em Tratamento de atalhos do Windows. Esta falha permite argumentos de linha de comando mal-intencionados a serem ocultados no . Arquivos LNK usando recuo de espaço em branco no COMMAND_LINE_ARGUMENTS estrutura. Isso permite a execução arbitrária de código em dispositivos vulneráveis sem o conhecimento do usuário.
Quando uma vítima abre esse arquivo, um É executado o comando do PowerShell que descriptografa e extrai o conteúdo do arquivo TAR , exibindo simultaneamente um PDF decodificado para o usuário. O arquivo contém um legítimo Utilitário Canon Printer Assistant, um DLL maliciosa chamada CanonStager e um PlugX criptografado carga útil de malware (cnmplog.dat), distribuída por meio de sideload de DLL.
PlugX ( também conhecido como Destroy RAT, Kaba, Korplug, SOGU e TIGERPLUG ) é um Trojan de acesso remoto que dá aos hackers controle total sobre um sistema infectado. O malware pode executar comandos, interceptar pressionamentos de tecla, fazer upload e download de arquivos, persistir no sistema modificando o registro do Windows e realizar reconhecimento detalhado.
A arquitetura modular do PlugX permite que seus operadores expandir a funcionalidade do Trojan através de plugins projetados para tarefas específicas. O malware também usa técnicas anti-análise e anti-depuração para complicar a análise e permanecer indetectável.
De acordo com pesquisadores do Arctic Wolf, Uma evolução no kit de ferramentas dos invasores foi documentada: o tamanho de CanonStager artefatos foi reduzido de 700 KB a 4 KB Indicando desenvolvimento ativo e minimizando sua pegada digital. Além disso, no início de setembro, o grupo teria começado a usar Aplicativo HTML (HTA) arquivos para carregar o código JavaScript que recupera cargas do CloudFront[.]NET.
Vale a pena notar que o CVE-2025-9491 A vulnerabilidade existe desde pelo menos 2017 e tem sido explorada ativamente por vários grupos de hackers. A exploração desse bug foi relatada publicamente pela primeira vez em março de 2025. Na época, os analistas da Trend Micro descobriram que a vulnerabilidade estava sendo amplamente explorado por onze grupos de hackers do “governo” e outros cibercriminosos, incluindo Evil Corp, APT43 (Kimsuky), Bitter, APT37, Mustang Panda, SideWinder, RedHotel e Konni.
No entanto, apesar da exploração generalizada, os desenvolvedores da Microsoft ainda não lançaram um patch para CVE-2025-9491. Em março, representantes da empresa afirmaram que iriam “Considere abordar o problema”, mas enfatizou que A vulnerabilidade não exigia atenção imediata. A Microsoft também enfatizou que O Defender tem ferramentas de detecção para bloquear essa atividade e esse Controle de Aplicativo Inteligente fornece proteção adicional.
Como ainda não existe um patch oficial, o Arctic Wolf recomenda limitando ou bloqueando o uso de arquivos LNK no Windows , bloqueando conexões com a infraestrutura de controle de hackers descoberta por pesquisadores e fortalecendo o monitoramento de atividades suspeitas na rede.
Redação
A equipe editorial do Red Hot Cyber é composta por um grupo de indivíduos e fontes anônimas que colaboram ativamente para fornecer informações e notícias antecipadas sobre segurança cibernética e computação em geral.