Operação XENOFISCAL expõe espionagem financeira e vigilância persistente contra a administração afegã

Os investigadores de segurança revelaram uma campanha dirigida à maquinaria financeira do Estado afegão que combina técnicas de engenharia social localizadas com ferramentas de acesso remoto de fácil disponibilidade. Sob o nome operacional Operation XENOFISCAL, os atacantes — presos ao grupo conhecido como SideCopy, associado ao guarda-chuva mais amplo de Transparent Tribe — utilizaram um arquivo ZIP com acesso direto (LNK) nomeado em pashto para comprometer funcionários e endereços provinciais de fazenda. O uso deliberado do pashto como señuelo não é anecdótico: é uma prova de que o adversário possui conhecimento do ambiente alvo e busca maximizar a probabilidade de o arquivo ser aberto.

A cadeia de infecção aproveita utilitários nativos do Windows para reduzir a assinatura maliciosa: o LNK invoca mshta.exe Para recuperar um arquivo HTA hospedado em um domínio educacional afegão comprometido, o que resulta na execução em memória de código JavaScript ofuscado. Posteriormente, o cenário inclui persistência por chaves do registro que simulam componentes legítimos (neste caso, Microsoft Edge) e a carga de um loader no DLL que deixa na equipe a versão 1.8.7 de Xeno RAT junto a um documento señuelo. Para entender o vetor mshta recomendo a documentação oficial da Microsoft: https://learn.microsoft.com/en-us/windows-server/administration/windows-commands/mshta.

Xeno RAT é uma ferramenta capaz de converter um host comprometido em uma plataforma completa de espionagem e exfiltração: comunicação TCP com um servidor de controle, carga dinâmica de módulos DLL, criação de tarefas programadas, coleta de informações sobre soluções antivírus, tunelização através de SOCKS5, operações sobre arquivos, registro de teclas, capturas de tela, monitoramento da área de transferência, acesso à webcam e microfone e capacidade para eliminar sua própria persistência. Em conjunto, estas funcionalidades permitem tanto a extração silenciosa de dados financeiros como a vigilância continuada dos processos administrativos.

Este incidente se enquadra em uma campanha mais ampla contra objetivos do subcontinente. Em outra frente, foram descritas operações de infra-estrutura militar indiana através de arquivos .desktop de Linux manipulados, señuelos relacionados com contratos de veículos acourados e uma implantação em Go apodada DeskRAT. A recorrência de técnicas e ferramentas por parte do mesmo grupo sublinha uma estratégia sustentada de intrusão e coleta na região. Para contexto sobre o ator e suas táticas, o perfil de grupo pode ser consultado na base MITRE ATT&CK: https://attack.mitre.org/groups/G0066/.

As implicações são múltiplas. A curto prazo, a ex-filtração de dados contabilísticos e de pagamentos pode facilitar fraudes, sanções económicas ou manipulação administrativa. A médio e longo prazo, a persistência e capacidades de vigilância abrem a porta a operações encobertas que comprometem a tomada de decisões e a segurança fiscal de províncias inteiras. Do ponto de vista operacional, o emprego de ferramentas open source ou amplamente disponíveis reduz o custo para o adversário e complica a detecção quando misturados com processos legítimos do sistema.

Para organizações e responsáveis por TI em ambientes governamentais e financeiros, a prioridade imediata deve ser conter e detectar esta classe de intrusões. É crítico restringir a execução de mshta.exe e outros intérpretes a partir de locais não confiáveis através de políticas de controle de aplicativos (AppLocker ou WDAC), endurecer as regras de execução de atalhos e arquivos HTA e bloquear a descarga automática de recursos de domínios suspeitos. A implementação de soluções EDR com capacidade de monitoramento de execução em memória e detecção de comportamento anormal aumenta substancialmente a probabilidade de identificar uma infecção precoce.

Para além da hardening técnico, a higiene humana é determinante: capacitar o pessoal para identificar senheiros em sua língua nativa, desconfiar de arquivos comprimidos inesperados e verificar por canais independentes qualquer comunicação que envolva documentos ou links relacionados a procedimentos financeiros. Em caso de suspeita, deve-se isolar a máquina afetada, preservar a evidência (memoria, registros, voltados de processos) para análise forense e proceder à rotação de credenciais e chaves que possam ter sido comprometidas.

Finalmente, as organizações devem integrar detecções específicas em seus logs e telemetria: buscas de execuções incomuns de mshta, criação de tarefas agendadas sem precedentes, modificações em chaves Run/RunOnce que imitem navegadores, cargas de DLL a partir de locais temporais e conexões TCP persistentes para destinos não catalogados, especialmente se mostram padrões de túnel SOCKS5. A coordenação entre agências, o intercâmbio de indicadores de compromisso com parceiros regionais e a notificação às autoridades competentes são passos necessários para atenuar o alcance de campanhas que, como Operation XENOFISCAL, apontam diretamente para a estabilidade operacional e financeira de administrações públicas.