Setor elétrico e órgãos públicos no Brasil entram na mira de novo grupo hacker
Um novo ator de ameaça, até então pouco conhecido, ganhou relevância no cenário global de cibercrime. Batizado de Armored Likho, esse grupo passou a ser associado a uma série de ataques contra órgãos governamentais e empresas do setor de energia elétrica na Rússia, no Brasil e no Cazaquistão. A análise mais detalhada de suas operações foi conduzida pela Kaspersky, que descreve o Armored Likho como um operador híbrido: ao mesmo tempo em que realiza campanhas com foco financeiro contra pessoas físicas, também conduz operações avançadas de espionagem digital contra organizações estratégicas.
De acordo com os pesquisadores, o arsenal do grupo é amplo e sofisticado. Entre as ferramentas empregadas estão trojans de acesso remoto (RATs), infostealers e componentes modulares fortemente ofuscados. Essa ofuscação tem dois objetivos principais: dificultar a análise por especialistas e ferramentas de sandbox e reduzir a probabilidade de detecção por soluções de segurança corporativa. Uma das peças centrais desse arsenal é o Go2Tunnel, utilitário usado para acesso remoto e tunelamento de tráfego, capaz de criar conexões persistentes entre máquinas comprometidas e os servidores de comando e controle (C2) do grupo.
A diversidade de ferramentas e técnicas permite ao Armored Likho manter presença prolongada em sistemas comprometidos, coletar credenciais, exfiltrar dados confidenciais e, quando necessário, instalar módulos adicionais específicos para o perfil de cada alvo. Em vez de uma campanha única e rígida, o que se observa é uma cadeia de ataque altamente adaptável, ajustada conforme o ambiente invadido, o nível de privilégio obtido e os objetivos estratégicos em cada operação.
Os analistas também apontaram semelhanças relevantes entre o Armored Likho e um cluster anteriormente rastreado pela BI.ZONE sob o codinome Eagle Werewolf, ativo pelo menos desde maio de 2023. Esse outro grupo possui um histórico consistente de ataques contra instituições governamentais e organizações do setor de defesa, com foco especial em entidades envolvidas no desenvolvimento e na fabricação de veículos aéreos não tripulados (UAVs). Nas campanhas atribuídas ao Eagle Werewolf, já foram identificados droppers dedicados, trojans de acesso remoto e ferramentas criadas especificamente para o estabelecimento de túneis SSH.
Segundo a BI.ZONE, os invasores exploram múltiplos vetores de distribuição de malware, incluindo a utilização de canais comprometidos em aplicativos de mensagens para propagar arquivos maliciosos e instalar suas cargas úteis. Embora a espionagem cibernética seja considerada a motivação principal, foram observadas também campanhas voltadas ao desvio de recursos financeiros, evidenciando a sobreposição entre interesses de inteligência e a busca por lucro direto.
Em fevereiro de 2026, o Eagle Werewolf foi flagrado explorando um canal voltado a entusiastas de drones para disseminar o AquilaRAT por meio de um dropper desenvolvido em Rust. O arquivo se disfarçava de checklist para ativação de dispositivos Starlink, buscando enganar tanto usuários comuns quanto profissionais da área. Nessa mesma operação, o Go2Tunnel voltou a ser empregado para estabelecer um túnel SSH reverso entre a máquina comprometida e o servidor C2, utilizando uma chave privada preparada previamente pelos criminosos.
Mais recentemente, foi identificado o uso de um novo infostealer desenvolvido em Python, batizado de BusySnake Stealer e destinado a sistemas Windows. Uma das variantes analisadas contém um módulo específico para a coleta de cookies de navegadores, abrindo caminho para o sequestro de sessões web e a violação de contas sem a necessidade de capturar senhas diretamente. Apesar dos avanços na atribuição, a origem exata do Armored Likho continua incerta, o que dificulta confirmar se se trata de um grupo totalmente novo ou da evolução de clusters já conhecidos, como o próprio Eagle Werewolf.
A cadeia de infecção geralmente se inicia com campanhas de spear phishing cuidadosamente personalizadas. As mensagens utilizam temas relacionados a comunicados oficiais do governo, programas sociais, benefícios e atualizações administrativas, o que aumenta a taxa de abertura sobretudo entre funcionários públicos e colaboradores de empresas estatais e concessionárias de energia. Os e-mails maliciosos costumam trazer anexos no formato RAR, que, ao serem extraídos, revelam binários em formato EXE. Esses executáveis funcionam como droppers, responsáveis por baixar cargas adicionais a partir de repositórios controlados pelos atacantes, entre elas o próprio BusySnake Stealer.
Após a primeira execução, o dropper cria dois arquivos em Visual Basic Script (VBScript). Um deles é encarregado de eliminar vestígios da execução inicial, como arquivos temporários e traces de logs, enquanto o outro configura a execução do infostealer por meio de uma tarefa agendada no agendador de tarefas do Windows. Esse mecanismo de persistência garante que o malware continue ativo mesmo depois de reinicializações do sistema, mantendo o acesso contínuo para os operadores do Armored Likho.
Além da cadeia baseada em executáveis EXE, a Kaspersky documentou rotas alternativas de infecção que exploram arquivos de atalho do Windows, no formato LNK. Nessas variantes, os criminosos se aproveitam de uma vulnerabilidade já corrigida, ligada à forma como o sistema operacional interpreta e processa esses atalhos. A falha, catalogada como CVE-2025-9491 e também conhecida como ZDI-CAN-25373, foi corrigida pela Microsoft no pacote de atualizações de novembro de 2025, mas continua explorável em ambientes não atualizados.
Pesquisas anteriores da Trend Micro já indicavam que essa vulnerabilidade vinha sendo usada por diversos grupos maliciosos desde 2017. No cenário observado pela Kaspersky, a exploração do LNK vulnerável serve para acionar um comando PowerShell ofuscado. Esse comando, por sua vez, executa um loader responsável por exibir um documento-isca para a vítima – geralmente um arquivo que aparenta ser legítimo, como um ofício, formulário ou memorando oficial – enquanto prepara silenciosamente o ambiente para a instalação do BusySnake Stealer escrito em Python.
Depois dessa etapa, o malware repete a mesma abordagem de persistência: cria scripts VBScript e configura tarefas agendadas para garantir sua execução periódica. O uso do documento-isca é um elemento fundamental da engenharia social nesse contexto, pois transmite ao usuário a impressão de que o arquivo aberto é o único conteúdo entregue pelo e-mail, enquanto toda a atividade maliciosa se desenrola em segundo plano, sem sinais visíveis imediatos.
O BusySnake foi projetado com um conjunto robusto de técnicas de evasão, que incluem ofuscação de código, verificação de ambiente para evitar execução em máquinas de análise e ajustes dinâmicos de comportamento conforme o contexto detectado. Seu objetivo principal é abrir e manter um canal de comunicação com o servidor de comando e controle, a partir do qual recebe instruções, atualiza módulos e envia informações roubadas. Entre os dados geralmente visados estão credenciais armazenadas em navegadores, cookies de sessão, arquivos de configuração, documentos internos, capturas de tela e, em alguns casos, dados relacionados a carteiras de criptomoedas.
Para o setor elétrico e para órgãos públicos, o impacto potencial desse tipo de ataque vai muito além da perda de dados. Em concessionárias de energia, por exemplo, o comprometimento de estações de trabalho administrativas pode servir como ponto de partida para movimentação lateral em direção a redes operacionais, responsáveis por monitorar e controlar equipamentos críticos. Mesmo quando o ataque não atinge diretamente sistemas industriais, o vazamento de informações sensíveis – como plantas de redes, credenciais de acesso remoto, documentação técnica e planos de continuidade de negócios – pode ser explorado em campanhas futuras, mais destrutivas e direcionadas.
No contexto brasileiro, a combinação entre ataques com motivação financeira e operações de espionagem aumenta significativamente o risco para a administração pública. Dados sobre licitações, contratos, estudos regulatórios e planejamentos de expansão de infraestrutura são extremamente valiosos, tanto para criminosos interessados em extorsão quanto para atores com objetivos geopolíticos. A presença de um grupo como o Armored Likho no radar de instituições brasileiras indica uma elevação do nível de maturidade dos adversários que hoje miram o país.
Outro ponto preocupante é o uso intensivo de plataformas e linguagens modernas, como Rust e Python, que facilitam o desenvolvimento de malware mais modular, portátil e difícil de detectar. A rapidez com que esses grupos conseguem atualizar suas ferramentas, trocar de infraestrutura e alterar cadeias de infecção faz com que indicadores tradicionais, como hashes de arquivos e endereços IP, tenham vida útil cada vez mais curta, exigindo das equipes de segurança uma abordagem pautada em detecção comportamental e análise contínua de telemetria.
Para mitigar os riscos, especialistas reforçam algumas medidas fundamentais: atualização rigorosa de sistemas operacionais e aplicativos, com foco em corrigir vulnerabilidades como a CVE-2025-9491; uso de soluções de segurança capazes de inspecionar anexos e scripts, incluindo PowerShell e VBScript; implementação de políticas rígidas de controle de e-mail, filtragem de anexos e bloqueio de arquivos potencialmente perigosos, como executáveis e atalhos LNK provenientes de remetentes externos.
Treinamento contínuo de colaboradores também é considerado peça-chave, sobretudo em ambientes governamentais e empresas de infraestrutura crítica. Funcionários precisam ser capazes de identificar e-mails suspeitos, desconfiar de anexos inesperados, confirmar a autenticidade de comunicações oficiais por canais alternativos e reportar incidentes com rapidez. Sem essa camada humana de prevenção, a sofisticação técnica dos grupos como o Armored Likho encontra um terreno muito mais favorável para a exploração de falhas de atenção e confiança.
Por fim, a detecção precoce de movimentações anômalas dentro da rede é determinante para limitar os danos. Monitoramento de logs, segmentação de redes administrativas e operacionais, uso de autenticação multifator e revisão periódica de privilégios ajudam a reduzir a superfície de ataque e a dificultar a escalada de acessos após a infecção inicial. Em um cenário em que grupos híbridos misturam espionagem e crimes financeiros, como o Armored Likho e o Eagle Werewolf, construir uma postura de cibersegurança resiliente deixa de ser um diferencial e se torna requisito básico para a continuidade das operações, especialmente em setores estratégicos como o elétrico e a administração pública.