Um grupo hacktivista alinhado à Bielorrússia passou quase dois anos dentro da rede de uma organização de saúde da Rússia.
Segundo um relatório publicado pela empresa russa de cibersegurança Solar, a atividade foi atribuída a um conjunto de ameaças chamado Partisan Zmiy, também conhecido como Cyber Partisans.
Sabe-se que o grupo está ativo desde pelo menos 2020 e tem histórico de ataques a empresas industriais e órgãos governamentais na Rússia e na Bielorrússia, usando um backdoor chamado Vasilek, que utiliza o Telegram para comando e controle (C2) e para a exfiltração de dados.
Alguns ataques também utilizaram iscas de phishing para instalar um instalador que implanta, ao mesmo tempo, o programa VPN legítimo FortiClient no sistema e um programa de código aberto chamado DNSCat2, que permite aos invasores assumir o controle do equipamento infectado.
Um aspecto notável do agente de ameaça é a capacidade de realizar ataques destrutivos com um wiper (programa de apagamento de dados) chamado Pryanik, além de adotar medidas para apagar sistematicamente os registros de eventos do Windows com um utilitário chamado Evlx.
A subsidiária da Rostelecom afirmou que descobriu a invasão em dezembro de 2025, embora as evidências sugiram que os primeiros sinais de comprometimento datam do início de 2024. O nome da organização alvo não foi identificado. O vetor exato de acesso inicial usado para invadir a entidade também é desconhecido.
Diferentemente de outros ataques ligados aos Cyber Partisans, os agentes de ameaça permaneceram na rede por um período prolongado sem realizar nenhuma atividade destrutiva, o que representa uma certa mudança no modus operandi.
“A organização atacada possuía uma infraestrutura extensa e relações de confiança bidirecionais com inúmeras instituições médicas subsidiárias”, disse a Solar. “Levantamos a hipótese de que a ausência de interrupção da infraestrutura se deve justamente ao valor desse acesso para novas ações de espionagem e ataques a relações de confiança.”
Como parte da invasão, foi observado um serviço agendador de carregamento (“vmauad”) que se disfarça de componente legítimo do VMware para manter a persistência e evitar uma inspeção superficial. Para isso, os invasores teriam se aproveitado de um diretório confiável, mas não monitorado, do VMware Tools para plantar executáveis maliciosos ou substituir bibliotecas DLL legítimas do VMware por uma versão maliciosa (vmtools.dll) que contém o backdoor.
A principal função do serviço do Windows é executar o binário falso “C:\Program Files\VMware\VMware Tools\authd.exe”, que, além de iniciar um túnel GOST todo sábado, das 22h às 23h, executa uma versão atualizada do Vasilek (versão 1.5.8) uma única vez, oito horas após o início do serviço.
Uma vez instalado, o Vasilek está preparado para coletar informações sobre o computador infectado, executar comandos do Windows, iniciar e encerrar processos, transferir arquivos, capturar capturas de tela, registrar teclas digitadas e elevar privilégios por meio do runas. Ele também pode impedir que a máquina entre em modo de suspensão e atualizar ou remover a si mesmo.
Uma novidade é o comando “move_cursor” que, como o nome sugere, permite ao backdoor mover o cursor e simular a entrada de usuário na tela da vítima.
“O grupo investe consistentemente em furtividade e segurança operacional, e não em novas capacidades: vinculação de nome de host em dois componentes independentes, execuções agendadas diárias de payloads, herança de proxy do sistema, disfarce como software instalado legitimamente, mas não utilizado, rotação de arquivos nos mesmos caminhos, alteração de carimbos de tempo, supressão de mensagens de saída e mensagens anônimas em nome do grupo nos chats dos operadores”, disse a Solar.
“O conjunto de funcionalidades do backdoor permaneceu em grande parte inalterado ao longo de quatro revisões. Como o Telegram está bloqueado na Rússia pelos provedores de internet (ISPs), a comunicação entre o backdoor Vasilek e o C2 tornou-se instável.”
A divulgação ocorre no momento em que a Solar também revelou detalhes de uma campanha de phishing que utiliza anexos em JavaScript que imitam documentos com temática empresarial, como comprovantes de pagamento e ordens de compra, para distribuir uma família de malware até então não divulgada, chamada HypeAgent.
O malware para Windows é um trojan completo, projetado para assumir controle total dos sistemas infectados, com capacidade de roubar arquivos, abrir um console, alterar o papel de parede da área de trabalho, ativar a webcam, registrar teclas digitadas, iniciar sessões de VNC oculto e RDP (Protocolo de Área de Trabalho Remota), controlar o mouse e até instalar um minerador de criptomoedas.
Ele também é capaz de roubar cookies associados ao Discord, Steam, GitHub, Instagram, Telegram, Binance, ChatGPT, Claude e Cursor, além de adulterar o aplicativo de carteira Exodus instalado, para injetar JavaScript capaz de coletar a senha, o PIN, a frase mnemônica e a chave privada da vítima.
No início de junho, a Solar também observou infraestruturas legítimas comprometidas pelo malware da botnet de proxyware ProxyCB (proxyware botnet), que fazia requisições automatizadas a sites e plataformas online russas. A empresa também identificou possíveis sobreposições entre a infraestrutura da botnet e atividades históricas ligadas ao TeamSpy, um conjunto de ameaças conhecido por abusar do TeamViewer para facilitar reconhecimento e roubo de dados.
No mês passado, o Departamento de Justiça dos EUA (DoJ) acusou Searzhudin Tamirlanovich Aktulaev, um cidadão russo de 40 anos extraditado do Chipre em maio de 2025, por explorar o serviço de mensagens de uma conhecida plataforma de trabalho freelancer para enviar anexos do Excel contaminados por malware a cerca de 80 mil de seus usuários em 2016 e 2017, por meio de 255 contas falsas.
Os ataques levaram à implantação de dois tipos de malware: uma variante do TVRAT (também conhecido como Sheldor, SpyAgent, TeamBot, TeamSpy e TVSPY) e o DarkVNC, usados para coletar e enviar dados de um computador da vítima a um servidor remoto sob controle do invasor. Estima-se que milhares de computadores tenham sido infectados em decorrência desse esquema.
