SumatraPDF troceado AdaptixC2 e túneis de VS Code el ciberespionagem que se oculta em ferramentas legítimas

Uma operação de espionagem cibernética recente mostra como os grupos com experiência em persistência e sigilo continuam a explorar aplicações legítimas e serviços públicos para evitar a detecção. De acordo com o relatório de pesquisa, atacantes ligados ao coletivo conhecido como Tropic Trooper usaram uma versão troceada do leitor SumatraPDF como vetor inicial para implantar um agente pós-explotação chamado AdaptixC2 Beacon, e posteriormente estabeleceram acesso remoto aproveitando a funcionalidade de túneis do Visual Studio Code.

O modus operandi combina técnicas clássicas e ferramentas modernas: o usuário é atraído por um arquivo ZIP que contém señuelos militares e um executável malicioso que se faz passar por SumatraPDF. Ao abrir o señuelo, é mostrado um PDF de distração enquanto, em segundo plano, é baixado e executado código cifrado através de um carregador identificado como TOSHIS (um derivado do conhecido Xiangoop). Esse carregador orquestra a cadeia de carga que termina com um implant que usa o GitHub como canal de comando e controle, e que só escala a um acesso persistente com túneis de VS Code quando o host é de interesse para o atacante.

Há vários elementos de risco e lições práticas. Primeiro, o uso de ferramentas legítimas como plataformas C2 (GitHub) e serviços de administração remota (VS Code Tunnels) complica a detecção porque o tráfego parece, a olho nu, o tráfego legítimo. Segundo, o emprego de um leitor PDF leve e não assinado em ambientes corporativos mostra que o controle sobre aplicativos de usuário e downloads externos é crítico. Terceiro, a campanha seleciona vítimas segundo idioma e região, apontando principalmente comunidades de fala chinesa em Taiwan e indivíduos na Coreia do Sul e Japão, o que indica objetivos geopolíticos e setoriais concretos.

As implicações para organizações e usuários são claras: confiar apenas em assinaturas estáticas ou em bloqueios por nome de arquivo é insuficiente. A defesa requer controlos em vários níveis: verificação de integridade e origem dos instaladores, políticas de allowlisting de aplicações, filtragem de egress para repositórios ou IPs suspeitos, e telemetria que detecte comportamento anormal como processos que exibem shells criptografados, persistência incomum ou conexões recorrentes a plataformas públicas usadas como C2.

Em termos operacionais, as equipes de resposta e pesquisa deveriam priorizar a busca de artefatos específicos (por exemplo, rastros do loader TOSHIS/Xiangoop, presença de AdaptixC2 ou conexões à IP de staging relatada 158.247.193.100) e capturar memória e registros de rede antes de remediar. Em ambientes onde VS Code é permitido, é recomendável rever a configuração de acesso remoto e auditar a criação de tunnels, pois esses canais legítimos podem se tornar vetores de controle persistente. Para entender a funcionalidade e riscos da característica, a documentação oficial do VS Code sobre túneis é um bom ponto de partida: Visual Studio Code - Tunnels.

Para reduzir a probabilidade de compromisso e a superfície de ataque, convém reforçar hábitos e controles básicos: baixar software apenas de fontes oficiais e verificar assinaturas/digestos quando disponíveis, aplicar segmentação de rede e políticas de saída (egress) que limitem conexões diretas a repositórios públicos desde endpoints sensíveis, e implantar detecção baseada em comportamento que identifique padrões como execução de binários não habituais que lançam payloads em memória. O leitor SumatraPDF oficial e seu ponto de download podem ser consultados aqui para contrastar versões legítimas: SumatraPDF - site oficial.

Se sua organização detectar atividade relacionada a esta campanha, é prudente tratá-la como incidente: isolar a equipe afetada, preservar artefatos para análise forense, e buscar indicadores como processos de VS Code Server não autorizados, conexões ao GitHub que não correspondam a atividade de desenvolvimento e comunicações com IPs/hostnames suspeitos. Na prática, também é conveniente atualizar e endurecer as regras do EDR/AV para capturar carga em memória e técnicas de loader dinâmico, e rever controles de acesso a ferramentas de desenvolvimento remoto que poderiam ser abusadas.

Esta campanha é uma nova evidência de que os atores avançados misturam técnicas de baixo custo e alto sigilo com serviços públicos para operar sob o radar. A postura defensiva deve evoluir em paralelo: mais monitoramento baseado em comportamento, menos confiança implícita em ferramentas de uso cotidiano, e controles de rede e aplicativos mais estritos São as medidas que reduzem significativamente o risco de um senheiro aparentemente inocuo se tornar uma porta traseira persistente.

Para uma cobertura jornalística e técnica complementar sobre esta intrusão, consultar o comunicado de imprensa que cobriu o achado: BleepingComputer — Tropic Trooper uses trojanized SumatraPDF to deliver AdaptixC2, e a pesquisa original da equipe de ameaças que descobriu a campanha, cuja análise aprofundada em indicadores e amostras.