O grupo de hackers Sandworm, apoiado pela Rússia, implantou malware de limpeza de dados na Ucrânia no segundo e terceiro trimestre de 2025, de acordo com a ESET.
Em seu Relatório de Atividades da APT 2º trimestre de 2025–3º trimestre de 2025, a empresa de cibersegurança com sede na Eslováquia forneceu uma panorâmica da atividade dos grupos de ameaças persistentes avançadas (APT) em todo o mundo de abril a setembro de 2025.
O relatório, publicado em 6 de novembro, revelou que o Sandworm implantou limpadores de dados, incluindo Zerolot e Sting, contra organizações na Ucrânia.
Os alvos variaram de entidades governamentais, empresas dos setores de energia e logística e do setor de grãos.
Sandworm, também conhecido como APT44, Telebots, Voodoo Bear, Iridium, Seashell Blizzard e Iron Viking, tem sido associado à unidade do serviço de inteligência militar da Rússia (GRU) MUN74455 por várias empresas de segurança cibernética e agências governamentais.
A ESET avaliou que o objetivo provável do grupo para implantar novos limpadores era enfraquecer a economia ucraniana.
Grupos russos usam spear phishing e backdoor para espionagem cibernética
O relatório da ESET observou que outros grupos APT alinhados à Rússia também mantiveram seu foco na Ucrânia e em países com laços estratégicos com a Ucrânia, ao mesmo tempo em que expandiram suas operações para entidades europeias.
Enquanto o objetivo do Sandworm parecia ser interromper as organizações ucranianas, outros grupos de estados-nação russos buscavam objetivos de espionagem cibernética por meio de uma combinação de campanhas de spear phishing e implantes de backdoor.
Gamaredon continuou sendo o grupo APT mais ativo visando a Ucrânia, com um aumento notável na intensidade e frequência de suas operações durante o período relatado.
“Esse aumento na atividade coincidiu com um raro exemplo de cooperação entre grupos APT alinhados à Rússia, já que Gamaredon implantou seletivamente um dos backdoors do Turla. O conjunto de ferramentas da Gamaredon, possivelmente também estimulado pela colaboração, continuou a evoluir, por exemplo, por meio da incorporação de novos ladrões de arquivos ou serviços de tunelamento”, escreveram os pesquisadores da ESET.
Notavelmente, a ESET relatou que outro agente de ameaças alinhado à Rússia, InedibleOchotense, conduziu uma campanha de spear phishing se passando pela empresa de segurança cibernética.
“Esta campanha envolveu e-mails e mensagens do Signal entregando um instalador ESET trojanizado que leva ao download de um produto ESET legítimo junto com o backdoor Kalampur”, dizia o relatório.
Alguns grupos russos expandiram seus alvos para além da Ucrânia.
Por exemplo, o RomCom, outro dos grupos APT russos mais ativos, explorou uma vulnerabilidade de dia zero no WinRAR para implantar DLLs maliciosas e fornecer uma variedade de backdoors, com foco nos setores financeiro, de manufatura, defesa e logística na UE e no Canadá.
Visão geral da atividade global do APT
O relatório da ESET também destacou o foco contínuo dos APTs alinhados à China na espionagem geopolítica, visando a América Latina (FamousSparrow), Sudeste Asiático, EUA, EUA e Europa (Mustang Panda), saúde de Taiwan (Flax Typhoon) e setor de energia da Ásia Central (Speccom).
Enquanto isso, o grupo de hackers MuddyWater, alinhado ao Irã, intensificou suas táticas internas de spear phishing – enviando e-mails maliciosos direcionados de caixas de entrada comprometidas dentro da organização-alvo – enquanto o BladedFeline atualizou a infraestrutura e o GalaxyGato implantou um backdoor atualizado e roubo de credenciais de sequestro de DLL.
Finalmente, alguns APTs alinhados à Coreia do Norte expandiram seus roubos de criptomoedas e táticas de espionagem para o Uzbequistão, enquanto vários grupos do mesmo país – DeceptiveDevelopment, Lazarus, Kimsuky e Konni – foram observados visando diplomatas e acadêmicos sul-coreanos para obter receita e ganhos geopolíticos.