Convites falsos escondem backdoor para Windows em campanha contra organizações dos EUA e do Reino Unido
Um convite aparentemente legítimo para uma conferência pode ser a porta de entrada para um ataque digital. O grupo russo Star Blizzard tem usado mensagens sobre eventos para convencer pessoas a abrir arquivos maliciosos e instalar o CosmicPulse, um backdoor voltado a computadores com Windows.
De acordo com a Microsoft, desde janeiro de 2026 foram identificadas campanhas que miraram mais de 100 organizações, sobretudo nos Estados Unidos e no Reino Unido. Muitas delas tinham alguma relação com a Ucrânia. A empresa contabilizou ao menos 13 operações de maior alcance ao longo do ano, cada uma com dezenas ou centenas de mensagens, além das ações de phishing direcionado normalmente atribuídas ao grupo. Pelo menos um computador foi infectado; o número total de organizações efetivamente comprometidas, porém, não foi informado.
Agências de segurança dos Estados Unidos, do Reino Unido, da Austrália, do Canadá e da Nova Zelândia afirmaram, em dezembro de 2023, que o Star Blizzard provavelmente atua sob o comando do Center 18, unidade ligada ao Serviço Federal de Segurança da Rússia (FSB). O grupo tem um histórico de roubo de credenciais de e-mail e costuma se passar por pessoas conhecidas das vítimas.
Conversas antes do ataque
A estratégia não começa necessariamente com um arquivo suspeito. Em muitos casos, os criminosos iniciam uma conversa, simulam uma troca profissional e só depois apresentam o convite ou o conteúdo malicioso. Essa aproximação pode tornar a fraude menos evidente do que uma tentativa de phishing enviada sem qualquer contexto.
Os convites citam entidades conhecidas, como Chatham House e Atlantic Council. Algumas mensagens são elaboradas para parecer que partiram de alguém da própria organização que recebe o e-mail. Desde março de 2026, os operadores também passaram a enviar mensagens por contas hospedadas em sites que usam WordPress e cPanel. A Microsoft avalia, com alto grau de confiança, que essas contas foram invadidas para apoiar as campanhas. Antes, o grupo recorria com mais frequência a serviços gratuitos de e-mail, entre eles Proton e contas pessoais da Microsoft.
Em geral, a primeira mensagem não traz anexos. Se o destinatário responde, os invasores podem encaminhar um arquivo compactado RAR ou ZIP protegido por senha. A senha aparece em uma imagem enviada junto ao material. Dentro do pacote há um atalho LNK disfarçado de documento PDF, que inicia a cadeia de infecção no Windows.
Os temas usados para atrair as vítimas variaram. Nas campanhas de janeiro e fevereiro, os criminosos se apresentaram como autoridades ucranianas e enviaram falsos avisos sobre auditorias fiscais e multas a usuários do serviço de e-mail Ukr.net. Depois, exploraram assuntos como uma suposta interrupção no abastecimento de água de hotéis em Kyiv e notificações de pagamento dirigidas a funcionários de uma organização financeira internacional.
De ClickFix ao abuso de tarefas agendadas
A técnica de instalação também mudou. Em 2025, o Star Blizzard recorria a páginas falsas de CAPTCHA para levar as próprias vítimas a executar comandos no computador. Essa abordagem é conhecida como ClickFix. Em 2026, a Microsoft observou o uso de outro método, batizado de RedFlick, que explora tarefas agendadas do Windows para instalar o CosmicPulse e manter etapas do ataque em funcionamento.
Ao abrir o atalho LNK, comandos são executados de forma discreta para buscar um instalador em um servidor remoto. Na variante vista em janeiro, um script oculto recorria a SSH para baixar o arquivo. Em julho, o atalho passou a obter um PDF que continha um comando camuflado, usado para tentar buscar o instalador.
O pacote Windows Installer (MSI) é responsável por criar tarefas agendadas. Em uma versão identificada em abril, eram três, com nomes escolhidos para se confundirem com componentes legítimos do sistema: “Internet Quality Test Connection”, “Network Configuration Manager” e “System Health Monitor”.
As tarefas desempenham funções distintas. Uma envia o nome do computador e do usuário à infraestrutura de comando e controle (C2) e pode receber instruções para executar código adicional. Outra configura o WebDAV, recurso do Windows que permite acessar um endereço na web como se fosse uma pasta. A terceira utiliza o processo control.exe, associado ao Painel de Controle, para iniciar a etapa seguinte da cadeia maliciosa.
Um convite pode levar a outro tipo de ataque
Nem todas as mensagens ligadas aos falsos eventos tinham como objetivo instalar o backdoor no Windows. Em uma campanha observada em março, pessoas que responderam a um convite fraudulento associado ao Atlantic Council receberam um link para o DarkSword, um kit de exploração direcionado a iPhones.
A Proofpoint também identificou mensagens relacionadas ao Atlantic Council naquele mês e registrou um aumento significativo no volume de e-mails atribuídos ao grupo. A Trellix encontrou quatro mensagens enviadas em 26 de março. A empresa classificou como média a confiança de que elas conduziam ao DarkSword, pois as páginas de exploração já estavam fora do ar e não foi possível recuperar o código utilizado.
Como reduzir o risco
Convites inesperados devem ser verificados por um canal diferente daquele usado para recebê-los. Se a mensagem afirma representar uma organização conhecida, confirme o evento diretamente com um contato cuja identidade já esteja validada. Uma conversa prévia ou o uso de um nome familiar não garante que a conta seja legítima: ela pode ter sido comprometida.
Arquivos compactados protegidos por senha merecem atenção especial, sobretudo quando a senha é fornecida em uma imagem e o conteúdo inclui atalhos. Um arquivo LNK não é um documento PDF, mesmo que o nome ou o ícone tentem sugerir o contrário. Em caso de dúvida, não abra o anexo nem execute comandos indicados em mensagens ou páginas de verificação.
Para equipes de tecnologia, vale restringir a execução de scripts e atalhos recebidos por e-mail, monitorar a criação de tarefas agendadas incomuns e manter o Windows e as ferramentas de segurança atualizados. Também é importante revisar contas de e-mail e serviços de hospedagem corporativos, ativar autenticação multifator e trocar credenciais quando houver suspeita de acesso indevido.
Organizações que recebem uma mensagem suspeita devem preservar o e-mail e os arquivos relacionados para análise, em vez de encaminhá-los a outros funcionários. Se alguém abriu o atalho ou executou um arquivo, o equipamento deve ser isolado da rede e avaliado pela equipe responsável. A rapidez na resposta pode ajudar a conter a comunicação com servidores externos e evitar que o invasor avance para outras etapas do ataque.