Kimsuky lança campanha de intrusão hiper dirigida com enganos precisos e ferramentas legítimas para roubar dados e controlar redes

Um novo ciclo de intrusões atribuído ao grupo norte-coreano conhecido como Kimsuky (também Velvet Chollima) mostra uma estratégia recorrente: o uso combinado de engenharia social muito dirigida e ferramentas legítimas para mascarar a entrega de malware sofisticado. Durante março e abril de 2026 foram documentadas campanhas que suplantavam páginas de instalação de software de segurança e salas de Webex para forçar downloads que terminam implantando variantes do troiano HTTPSpy e outros componentes modulares que permitem controle remoto e exfiltração.

O poder do senheiro sectorial e a personalização do engano É notável: um dos iscos parecia desenhado especificamente para administradores de mensagens empresariais ao imitar o instalador de uma solução B2B. Outro aproveitou um calendário de reuniões real para criar uma página falsa da Webex e assim convencer assistentes concretos. Esse tipo de precisão indica não só a recolha prévia de informações - o compromisso de contas ou dispositivos - mas também uma intenção clara de escolher vítimas de alto valor dentro das organizações.

Do ponto de vista técnico, os atacantes combinaram técnicas clássicas e mais modernas: arquivos executáveis que chamam regsvr32 para carregar um DLL intermediário (MemLoader.dll) que cria persistência por tarefas programadas, e scripts JSE que descomprimen e lançam downloaders por PowerShell com verificações anti-análises antes de recuperar a próxima etapa. Também é documentado um mecanismo chamado JSONPing, no qual páginas web falsas consultam um servidor local montado pelo malware para verificar sua execução em tempo real e mostrar mensagens de instalação apenas se o binário não estiver sendo executado.

HTTPSpy, que já havia aparecido em campanhas desde 2022 e foi associado por CrowdStrike a objetivos na Europa em 2024, atua aqui como a carga útil final em alguns incidentes. Suas capacidades incluem execução remota de comandos, transferência de arquivos, captura de tela, injeção em processos e remoção de traços, ou seja, todas as funções de espera em um RAT desenhado para espionagem persistente e extração de informação.

Paralelamente, relatórios recentes atribuídos ao Kaspersky e outros analistas mostram que Kimsuky evolui sua infraestrutura e táticas: abuso de túneis legítimos do Visual Studio Code e do Cloudflare Quick Tunnels para manter acesso fora de canais tradicionais, distribuição de ferramentas de gerenciamento remoto open source como DWAgent, e uso de Rust e modelos de linguagem para desenvolver variantes mais ágils. Os clusters denominados PebbleDash e AppleSeed refletem esta diversificação, com famílias como HelloDoor, HttpMalice, HttpTroy e variantes centradas em exfiltrar dados sensíveis — incluindo certificados GPKI— e em controle remoto avançado.

As implicações para organizações e administradores são claras: estamos diante de uma campanha de inteligência persistente e adaptável com objetivos críticos (defesa, governo, energia, saúde, indústria). A mistura de iscos muito direcionados, roubos de credenciais/horarios e uso de ferramentas legítimas para túneis e controle remoto complicam a detecção tradicional baseada apenas em assinaturas. Além disso, quando o atacante aproveita contas legítimas para construir confiança (por exemplo, distribuir um link para uma reunião verdadeira), os controles baseados em confiança externa tornam-se insuficientes.

Para reduzir a superfície de ataque e melhorar a detecção, é prioritário endurecer controlos técnicos e processos operacionais. Do ponto de vista técnico, convém restringir o uso de utilitários de sistema com histórias de abuso como regsvr32, monitorar e alertar quando processos raros criam tarefas programadas ou instalam DLLs via execuções atípicas, aplicar controle de aplicativos ou listas brancas, limitar a execução de scripts (JSE/PIF/SCR) e fortalecer políticas sobre PowerShell (registo, bloqueio de comandos remotos, AMSI). Também é crítico auditar o uso de túneis remotos e ferramentas RMM na rede e, onde possível, desativar ou controlar o túnel de VS Code através de políticas corporativas. A Microsoft documenta o funcionamento de regsvr32 que ajuda a entender seu abuso nas invasões: https://learn.microsoft.com/en-us/windows-server/administration/windows-commands/regsvr32, e a documentação do VS Code sobre túneis explica como se estabelecem esses canais legítimos que podem ser abusados: https://code.visualstudio.com/docs/remote/tunnels.

No plano humano e organizacional Há medidas de senso comum que continuam a ser eficazes: educar usuários sobre a verificação de fontes de descarga (descarregar apenas de portais oficiais ou repositórios verificados), desconfiar de pop-ups que solicitam executar scripts para “arreglar” periféricos, revisar e endurecer acessos de contas com privilégios (MFA, rotatividade de credenciais, sessões forçadas), e rever reuniões agendadas e acessos delegados para detectar anomalias que poderiam indicar contas comprometidas. Para administradores de sistemas, revisar logs de e-mail e calendários em busca de reenvios ou acessos incomuns pode ajudar a identificar se horário ou convites foram exfiltrados.

Se se suspeitar de uma intrusão, a resposta deve incluir isolamento do endpoint afetado, captura de memória e acabamento de disco para análise forense (especialmente para recuperar DLLs em memória e artefatos carregados por regsvr32 ou PowerShell), coleta de tarefas programadas, chaves de registro relacionadas, e registros de rede para identificar C2. Mudar senhas, revogar tokens comprometidos e revisar certificados GPKI e sua possível extração são passos críticos em ambientes onde essa infraestrutura é gerida.

Finalmente, a recomendação para equipamentos de segurança é manter uma vigilância pró-ativa sobre IOCs e táticas emergentes, compartilhar achados com a comunidade e fornecedores de detecção, e priorizar controles que limitem tanto a superfície de ataque quanto a capacidade dos operadores para usar canais legítimos em seu benefício. Esses adversários têm demonstrado capacidade para adaptar seu arsenal técnico e operacional; a defesa efetiva exige combinar detecção baseada em comportamento, endurecimento da plataforma e processos de resposta ágils.