Um ator cibernético anteriormente desconhecido visando acadêmicos e especialistas em política externa entre junho e agosto de 2025 foi identificado como UNK_SmudgedSerpent por pesquisadores de segurança cibernética.
De acordo com um comunicado publicado pela Proofpoint hoje, o grupo tinha como alvo indivíduos focados no Irã e nos desenvolvimentos políticos globais, iniciando contato por meio de conversas aparentemente inofensivas antes de tentar roubar credenciais e entregar malware.
Essa atividade combinou técnicas normalmente vistas em vários grupos de ameaças ligados ao Irã, mas não se alinhou de forma limpa com nenhum deles. A Proofpoint disse que o cluster compartilha características com TA453, TA455 e TA450, mas as sobreposições não são fortes o suficiente para uma atribuição definitiva.
Isca de vários estágios e cadeia de entrega
Os investigadores observaram pela primeira vez um e-mail discutindo tensões econômicas e agitação no Irã em junho, enviado a mais de 20 especialistas em think tanks nos EUA.
Após as respostas, os invasores intensificaram a conversa e introduziram materiais de colaboração falsificados por meio de um link no estilo OnlyOffice. A URL acabou levando a domínios com temas de saúde que coletavam credenciais e entregavam um arquivo ZIP contendo um MSI usado para carregar ferramentas de monitoramento e gerenciamento remoto (RMM).
Essas ferramentas incluíam o PDQConnect e, posteriormente, o ISL Online – uma sequência que os pesquisadores acharam incomum em operações de estado-nação.
As primeiras mensagens se passaram pela vice-presidente da Brookings Institution, Suzanne Maloney, usando uma conta do Gmail com um erro ortográfico. Ondas posteriores falsificaram o especialista em política Patrick Clawson, visando um acadêmico que se acredita ser israelense, e depois retornando em agosto com iscas ligadas às atividades do Irã na América Latina.
As principais táticas usadas pelos UNK_SmudgedSerpent incluíram:
-
Iniciadores de conversa benignos
-
Representação de think tank e temática política
-
Falsificações do OnlyOffice e do Microsoft 365
-
Infraestrutura relacionada à saúde
-
Implantação de ferramentas RMM
Atividade pausada, mas as preocupações persistem
Embora o momento do grupo esteja alinhado com o aumento das tensões Irã-Israel, a Proofpoint não encontrou nenhuma conexão direta com esses eventos.
Em vez disso, os pesquisadores sugeriram possíveis explicações para a sobreposição tática, que vão desde a aquisição de infraestrutura compartilhada até a movimentação de pessoal entre as empresas iranianas. A combinação de estilos de isca, infraestrutura e malware em clusters conhecidos complica ainda mais a atribuição.
“O aparecimento de um novo ator com técnicas emprestadas sugere que pode haver mobilidade de pessoal ou troca entre as equipes, mas com um mandato consistente; no entanto, não há atribuição confirmada para UNK_SmudgedSerpent no momento da redação deste artigo”,Proofpoint ele disse.
“Os TTPs e a infraestrutura são uma extensão do comportamento observado anteriormente de grupos de ameaças iranianos, e o direcionamento de especialistas em política externa do Irã continua a refletir as prioridades de coleta de inteligência do governo iraniano.”
UNK_SmudgedSerpent atividade parou de aparecer na telemetria de e-mail no início de agosto. No entanto, a infraestrutura ligada ao grupo veio à tona mais tarde, hospedando Malware vinculado ao TA455, indicando a continuação da sobreposição e a possibilidade de operações em curso.