Setor elétrico e órgãos públicos entram na mira de novo grupo hacker no Brasil
Um novo ator malicioso, até então pouco documentado, passou a chamar a atenção de pesquisadores de segurança digital. Batizado de Armored Likho, o grupo vem sendo associado a ataques contra órgãos governamentais e empresas de energia elétrica não só no Brasil, mas também na Rússia e no Cazaquistão. Análises técnicas apontam que se trata de uma operação híbrida: ao mesmo tempo em que realiza campanhas com foco em ganho financeiro contra indivíduos, conduz também ações de espionagem direcionada contra instituições estratégicas.
Os especialistas descrevem o Armored Likho como um grupo altamente flexível, capaz de ajustar suas táticas conforme o alvo e o ambiente comprometido. O arsenal identificado inclui trojans de acesso remoto (RATs), infostealers e ferramentas modulares fortemente ofuscadas, projetadas para driblar mecanismos de análise automatizada e reduzir ao máximo a taxa de detecção por soluções de segurança tradicionais. Essa combinação permite que o grupo conduza desde fraudes pontuais até operações prolongadas de coleta de informações sensíveis.
Entre as ferramentas mais relevantes associadas ao Armored Likho está o Go2Tunnel, utilizado para acesso remoto e tunelamento de rede. Com ele, os invasores estabelecem conexões persistentes entre computadores comprometidos e servidores de comando e controle, mantendo um canal ativo para movimentação lateral, exfiltração de dados e entrega de novas cargas maliciosas. Esse tipo de túnel reverso é especialmente perigoso em ambientes corporativos complexos, como empresas de energia e órgãos públicos, onde a segmentação de rede nem sempre é bem implementada.
A diversidade de utilitários e malwares empregados pelo grupo permite não apenas manter o controle sobre máquinas já comprometidas, como também roubar credenciais, documentos e outras informações críticas. Em função dessa capacidade modular, o Armored Likho consegue adaptar a cadeia de ataque conforme o perfil da vítima: em alguns casos, prioriza o roubo de dados; em outros, foca na espionagem de longo prazo ou em fraudes financeiras. Essa versatilidade é um indicativo de maturidade operacional e de um bom entendimento sobre a infraestrutura dos alvos.
Investigações recentes apontam ainda para possíveis conexões entre o Armored Likho e um cluster previamente monitorado por outra empresa de segurança sob o codinome Eagle Werewolf, em atividade desde maio de 2023. O Eagle Werewolf é conhecido por ataques contra instituições governamentais e organizações ligadas ao setor de defesa, com especial interesse em entidades envolvidas no desenvolvimento e na produção de veículos aéreos não tripulados (UAVs). Nessas campanhas, já foram observados droppers, RATs e ferramentas específicas para criação de túneis SSH.
Um aspecto preocupante é o uso de canais comprometidos para distribuição de malware. Há registros de ataques em que o grupo sequestra canais temáticos e passa a usá-los para disseminar arquivos maliciosos, muitas vezes disfarçados de material técnico, listas de verificação ou atualizações de sistemas. Embora a motivação principal atribuída ao cluster seja espionagem, as campanhas revelam também tentativas claras de roubo de recursos financeiros, o que reforça o caráter misto – político, estratégico e econômico – dessas operações.
Em fevereiro de 2026, pesquisadores observaram o Eagle Werewolf comprometendo um canal voltado a drones para disseminar o AquilaRAT, entregue por meio de um dropper desenvolvido em Rust. O arquivo danoso se apresentava como uma checklist para ativação de dispositivos Starlink, o que aumentava a credibilidade entre o público-alvo. Nessa mesma cadeia, o Go2Tunnel voltou a aparecer, sendo utilizado para criar um túnel SSH reverso com um servidor de comando e controle, autenticado por chave privada, o que dificulta a detecção do tráfego anômalo.
As análises mais recentes revelam ainda a adoção de um novo infostealer escrito em Python, batizado de BusySnake Stealer e voltado a máquinas com Windows. Entre as variantes avaliadas, algumas trazem módulos específicos para coleta de cookies de navegadores, além de dados de autenticação e histórico de navegação. Esses elementos podem ser usados tanto para o acesso direto a contas online quanto para a construção de perfis detalhados das vítimas, aumentando a eficácia de ataques posteriores, inclusive de engenharia social. As origens exatas do Armored Likho, no entanto, continuam em aberto, sem atribuição definitiva a um país ou grupo patrocinador.
A cadeia de infecção frequentemente começa com campanhas de spear phishing cuidadosamente preparadas. As mensagens, direcionadas a perfis específicos, simulam comunicados oficiais de órgãos governamentais, avisos sobre programas sociais, convocatórias ou documentos administrativos. No anexo, o usuário encontra um arquivo RAR que, ao ser aberto, contém binários EXE agindo como droppers. Esses executáveis baixam cargas adicionais a partir de repositórios online, entre elas o próprio BusySnake Stealer, além de outros módulos auxiliares.
Logo após ser executado, o dropper cria dois arquivos em VBScript (Visual Basic Script). O primeiro é responsável por remover pistas relacionadas à execução inicial, apagando evidências que poderiam facilitar a análise forense. O segundo é configurado em uma tarefa agendada do Windows, garantindo que o infostealer volte a ser executado em intervalos regulares ou após reinicializações do sistema. Dessa forma, o malware atinge um alto grau de persistência, mantendo-se ativo por longos períodos sem despertar suspeitas imediatas.
Os pesquisadores também identificaram cadeias alternativas que abandonam os executáveis tradicionais e apostam em atalhos do Windows, no formato LNK, como vetor inicial. Nesses cenários, o grupo explora uma vulnerabilidade na forma como o sistema operacional processa esses arquivos. A falha, catalogada como CVE-2025-9491 (também conhecida como ZDI-CAN-25373), foi corrigida em atualizações de segurança posteriores, mas segue explorável em máquinas desatualizadas – realidade ainda comum em órgãos públicos e empresas com parque tecnológico antigo.
Constatações divulgadas por outras equipes de pesquisa já haviam indicado que essa brecha em arquivos de atalho vinha sendo usada por múltiplos grupos desde 2017. No fluxo descrito mais recentemente, a vulnerabilidade serve para acionar um comando PowerShell fortemente ofuscado. Esse comando inicia um loader que, para despistar a vítima, abre um documento-isca aparentemente legítimo, enquanto em segundo plano prepara o ambiente para a execução do stealer em Python e de outros componentes maliciosos necessários ao ataque.
Concluída essa etapa, o malware volta a recorrer à combinação de scripts VBScript e tarefas agendadas para consolidar a persistência. O uso de documentos enganosos – como formulários, comunicados, manuais ou planilhas – reduz a percepção de risco por parte do usuário, que tende a acreditar ter aberto um arquivo corriqueiro. Enquanto isso, o BusySnake passa a atuar silenciosamente, coletando informações e se comunicando com a infraestrutura de comando e controle. Seu objetivo é receber instruções adicionais, baixar novos módulos e exfiltrar os dados capturados sem levantar alertas significativos.
Do ponto de vista das técnicas de evasão, o BusySnake incorpora múltiplos recursos para complicar a vida de analistas e sistemas de detecção. Entre eles, estão camadas de ofuscação de código, verificação do ambiente de execução para identificar máquinas de análise ou sandbox, e uso de protocolos e padrões de tráfego que se misturam ao fluxo legítimo da rede. Em alguns casos, o malware aguarda condições específicas – como determinado horário, idioma do sistema ou presença de aplicativos instalados – antes de ativar todas as funcionalidades, dificultando ainda mais a sua identificação em testes rápidos.
Para o Brasil, a atuação desse tipo de grupo representa um risco direto à segurança de infraestruturas críticas, especialmente no setor elétrico. Sistemas de controle industrial, redes de monitoramento e plataformas de gestão de ativos podem ser alvos de espionagem ou de sabotagem. O roubo de credenciais de administradores, mapas de rede e documentação interna abre caminho para ataques mais destrutivos, capazes de afetar a continuidade de serviços essenciais, gerar prejuízos financeiros e comprometer dados de cidadãos e empresas.
Órgãos públicos, por sua vez, tornam-se alvos atrativos pela combinação de fatores: volume de informações sensíveis, frequente defasagem tecnológica, baixa maturidade em políticas de segurança e uso intenso de e-mail para processos administrativos. Campanhas de spear phishing que simulam comunicações oficiais têm alta taxa de sucesso justamente porque se encaixam no cotidiano desses usuários, que muitas vezes não dispõem de treinamento adequado para identificar sinais de fraude ou comportamento suspeito.
Para reduzir a superfície de ataque, especialistas reforçam a importância de uma estratégia em múltiplas camadas. Isso inclui manter sistemas operacionais e softwares permanentemente atualizados, com aplicação rápida de correções de segurança; adotar filtros avançados de e-mail com análise de anexos e URLs; segmentar redes internas para limitar o movimento lateral de invasores; e implementar autenticação multifator em acessos privilegiados. Em ambientes industriais e no setor elétrico, a separação rígida entre redes de TI e redes de OT (tecnologia operacional) é essencial.
Treinamento contínuo de servidores públicos e colaboradores de empresas de energia também é considerado peça-chave. Simulações regulares de phishing, campanhas de conscientização e orientações práticas sobre como validar a origem de comunicados oficiais ajudam a reduzir a quantidade de cliques em anexos suspeitos. Aliado a isso, o monitoramento constante de logs, a adoção de soluções de detecção e resposta (EDR, XDR) e a realização de testes de intrusão periódicos permitem identificar brechas antes que agentes como o Armored Likho consigam explorá-las em escala.
Outro ponto crítico é a gestão de credenciais e de acessos privilegiados. Ferramentas de cofre de senhas, rotação periódica de credenciais administrativas, princípio do menor privilégio e uso de contas separadas para tarefas críticas são medidas que dificultam a escalada de privilégios por parte de invasores. Em combinação com uma boa política de backup – isolado, testado e com capacidade de restauração rápida -, essas práticas aumentam significativamente a resiliência diante de incidentes que envolvam roubo de dados ou tentativa de extorsão.
A atuação de grupos como o Armored Likho e o Eagle Werewolf mostra que a fronteira entre espionagem estatal, crime organizado e cibercrime financeiro está cada vez mais nebulosa. Alvos estratégicos, como o setor elétrico e órgãos públicos, tendem a permanecer na mira por concentrarem informações valiosas e exercerem papel crucial no funcionamento do país. A tendência é que esses operadores continuem a evoluir, incorporando novas vulnerabilidades, linguagens de programação e vetores de ataque – o que torna indispensável uma postura de segurança proativa, baseada em atualização constante, monitoramento e resposta rápida a incidentes.