Uma série de operações de spear phishing direcionadas a organizações na América do Norte, Ásia e Europa foi vinculada a um grupo alinhado à China conhecido como UTA0388.
As campanhas, inicialmente detectadas pela Volexity de junho a agosto de 2025, usavam mensagens personalizadas que se passavam por pesquisadores seniores de instituições fabricadas para induzir os destinatários a baixar arquivos carregados de malware.
Novas técnicas e evolução do malware
A Volexity identificou que UTA0388 mudou de simples links de phishing para “phishing de construção de relacionamento”, onde os invasores se envolviam em conversas prolongadas com os alvos antes de entregar arquivos maliciosos.
O malware distribuído por meio dessas campanhas (rastreado pela Volexity como “GOVERSHELL”) foi encontrado em cinco variantes em evolução, capazes de executar comandos remotos, coletar dados do sistema e manter a persistência nos sistemas infectados.
Cada ataque normalmente envolvia um arquivo contendo um executável de aparência legítima e uma biblioteca de links dinâmicos (DLL) maliciosa oculta. Quando aberta, a DLL é carregada por meio do sequestro de ordem de pesquisa, concedendo acesso remoto ao invasor.
O malware GOVERSHELL demonstrou uma progressão de shells básicos de linha de comando para variantes avançadas usando canais de comunicação criptografados WebSocket e HTTPS.
Sinais de phishing gerado por IA
O relatório da Volexity, publicado no domingo, apresenta fortes evidências de que UTA0388 usaram grandes modelos de linguagem (LLMs) para criar e-mails e até mesmo ajudar no desenvolvimento de malware.
Os indicadores incluem instituições fabricadas, personas irrealistas e inconsistências linguísticas em vários idiomas. Alguns e-mails de phishing combinavam inglês, mandarim e alemão em uma única mensagem.
Inclusões de arquivos estranhos em arquivos de malware, como vídeos pornográficos, textos sem sentido e cantos budistas, também apontam para saídas automatizadas ou geradas por LLM.
“Esta campanha consistentemente careceu de coerência de uma forma que é mais sugestiva de automação sem conhecimento do contexto”, explicou Volexity.
Atribuição e Implicações
A análise técnica vinculou o ambiente de desenvolvimento do GOVERSHELL a sistemas que usam chinês simplificado, reforçando a avaliação de que UTA0388 opera no interesse da China, particularmente em relação a questões geopolíticas asiáticas.
A infraestrutura do grupo espelhava a de campanhas anteriores rastreadas pela Proofpoint sob o nome “UNK_DropPitch”, que distribuía um malware relacionado conhecido como “HealthKick”.
Os principais indicadores das descobertas da Volexity para esta campanha incluem:
-
Uso de serviços de hospedagem em nuvem como Netlify e OneDrive para entregar cargas úteis
-
Nomes de domínio que se passam por grandes empresas, como Microsoft e Apple
-
Ritmo de campanha rápido, com até 26 e-mails de phishing enviados em três dias
Volexidade conclui que, embora nenhum artefato único prove o uso do LLM, a evidência coletiva o apóia fortemente.
“[We do] não ter dados suficientes para poder dizer se a incursão da UTA0388 em campanhas baseadas em LLM foi um sucesso”, explicou a empresa.
“Mas o volume de resultados de phishing personalizados (mesmo que às vezes no idioma errado) renderá um número significativo de oportunidades para obter acesso aos alvos com sucesso.”