Autoridades sul-coreanas e quatro empresas de segurança divulgaram uma campanha patrocinada por Estado que comprometeu sites domésticos confiáveis. Os atacantes usaram esses sites para explorar software de segurança financeira instalado localmente e infectar visitantes selecionados com backdoors SIGNBT ou COPPERHEDGE.
Uma página comprometida poderia infectar um sistema com uma versão vulnerável do AnySign4PC sem nenhum aviso ou download iniciado pelo usuário. A Agência Coreana de Internet e Segurança (KISA, na sigla em inglês) informa que as versões 1.1.4.4 até 1.1.4.6 do AnySign4PC são afetadas e lista a versão 1.1.5.0 como a correção. A agência recomenda excluir as instalações vulneráveis.
A AhnLab menciona dois produtos explorados apenas como software de segurança financeira A e I. O relatório não divulga suas identidades, versões afetadas ou corrigidas, nem identificadores de vulnerabilidade.
A AhnLab afirmou ter identificado evidências de ataques relacionados em 72 organizações em 2026. A empresa também encontrou 15 sites legítimos usados como pontos de ataque por água (watering holes). A investigação também encontrou sobreposição com ataques que terminaram com ransomware Gunra.
As evidências compartilhadas incluíam a mesma vulnerabilidade de acesso inicial, nomes de arquivos de malware e padrões de execução, impressão digital de chave SSH e infraestrutura de rede. A AhnLab afirmou que as evidências não comprovam que um mesmo ator realizou ambas as operações. O relatório não diz qual evidência colocou uma organização na contagem, então 72 não é um total de comprometimentos igualmente confirmados. O alerta não nomeia o grupo patrocinado por Estado.
Uma Visita à Página Foi Suficiente
O alerta conjunto foi emitido pela KISA, o Serviço Nacional de Inteligência, a Agência Nacional de Polícia e o Instituto de Segurança Financeira, com base em análises conduzidas com AhnLab, S2W, ENKI Whitehat e Plainbit.
A KISA afirmou que ataques de phishing direcionado e ataques por watering holes continuavam sendo identificados. Os relatórios públicos não dizem se os atacantes continuaram explorando o AnySign4PC após a disponibilidade da versão 1.1.5.0.
Os atacantes enviaram mensagens de phishing direcionado disfarçadas de currículos, abordagens de recrutamento, materiais de investimento e pesquisas do setor. Eles também comprometeram sites de notícias, saúde, educação, manufatura e sites menores com segurança precária que suas vítimas pretendidas provavelmente visitariam.
A ENKI Whitehat identificou o AnySign4PC, software usado para assinaturas eletrônicas baseadas em certificados, como um dos produtos vulneráveis e afirmou que os atacantes exploraram uma falha de dia zero. A ENKI observou a atividade a partir do segundo semestre de 2025, antes da KISA publicar seu aviso de correção em junho de 2026.
O relatório Operation Double Barrel da AhnLab descreve uma cadeia de exploração que usava quatro imagens PNG para trocar chaves, verificar a versão do software instalado, entregar código de exploração específico da versão e reportar se a execução foi bem-sucedida. A página maliciosa se comunicava com o programa de segurança local via WebSocket e.triggerava um estouro de buffer para executar shellcode.
A carga útil foi então injetada em processos legítimos da Microsoft. Dependendo da invasão, os atacantes instalaram Struggle, que a AhnLab mapeia para SIGNBT 3.0, ou Brandoor, seu nome para o backdoor COPPERHEDGE. O malware suportava execução remota de comandos, roubo de arquivos, reconhecimento interno, injeção de processos e entrega de cargas adicionais.
A Plainbit reconstruiu independentemente um dos incidentes de watering hole em seu relatório forense. Os atacantes mapearam os sistemas voltados para internet da vítima, comprometeram seu site, instalaram uma webshell e inseriram JavaScript em uma página legítima de artigo de notícias. Quando um alvo o visitava, o programa de segurança vulnerável gerava um erro e criava uma DLL maliciosa sem aviso de download ou outra interação do usuário.
O backdoor resultante descriptografava etapas posteriores na memória, injetava código no svchost.exe e lia informações de comando e controle do registro do Windows. Os atacantes subsequentemente usaram exploits de escalação de privilégios, Mimikatz e outras ferramentas de credenciais, conexões de Protocolo de Desktop Remoto (RDP) e NLBrute para se mover pela rede.
A análise da S2W de três clusters de malware encontrou um padrão recorrente de carregamento lateral de DLLs (side-loading), blobs de registro criptografados e carregamento de Executável Portátil (PE) na memória. Dois clusters implantaram as versões 0.0.1 e 1.2 do SIGNBT, enquanto um terceiro carregador descriptografava uma carga externa que os pesquisadores não conseguiram recuperar.
A Trilha do Gunra
Uma invasão de ransomware Gunra em março de 2026 usou o mesmo site de saúde comprometido e a mesma vulnerabilidade no produto que a AhnLab chama de software de segurança financeira A. Ambas as cadeias, patrocinadas por Estado e de ransomware, então injetaram código no SyncHost.exe. A AhnLab não identifica o software A, então o relatório não estabelece que a vulnerabilidade ligada ao Gunra fosse o AnySign4PC.
A AhnLab também descobriu que ambas as operações usavam os nomes de arquivo net.tmp e inet.tmp. O argumento inet.tmp era idêntico, enquanto os argumentos net.tmp seguiam um formato de GUID similar. Ambas as operações usaram a mesma impressão de chave pública SSH Qr1to32lQHxEu6phzNyrTZrU0iElrOfVWMBLnqoen24. Elas também usaram o mesmo endereço de túnel reverso 176.65.128[.]26. O domínio jshosting[.]me foi usado para distribuir scripts de exploração em ambos os conjuntos de ataques.
Os atacantes também seguiram o mesmo procedimento antiforense, renomeando arquivos maliciosos para nomes aleatórios de quatro caracteres antes de excluí-los. A Plainbit observou destruição adicional de evidências usando SDelete e CCleaner.
A AhnLab avaliou que as evidências mostram uma provável ligação técnica, mas afirmou não poder determinar o relacionamento entre os operadores. A empresa listou várias explicações possíveis, incluindo colaboração limitada, ferramentas ou infraestrutura compartilhadas, uso de um corretor de acesso comum ou acesso aos mesmos recursos operacionais.
As sobreposições mostram um caminho de acesso compartilhado ou reutilizado a partir do site comprometido através da execução no host e infraestrutura de suporte. Elas não mostram que o mesmo operador controlou ambos os ataques.
O Gunra opera como um programa de ransomware como serviço (RaaS), de acordo com pesquisa separada da S2W.
A empresa afirmou que a operação havia afetado 32 empresas em 9 de março de 2026, incluindo cinco negócios sul-coreanos, e havia passado de ransomware derivado do Conti para suas próprias construções para Windows e Linux.
Atribuição Não Alcança o Lazarus
O alerta governamental atual e o relatório Operation Double Barrel descrevem o operador focado em espionagem apenas como um grupo de ameaça patrocinado por Estado. Nenhum dos documentos atribui formalmente a campanha completa de 2025 a 2026 ao Lazarus, e nenhum conecta o Lazarus ao Gunra.
A AhnLab, no entanto, atribuiu um ataque de watering hole do AnySign4PC em março de 2026 ao Lazarus em um relatório separado publicado em abril. A Kaspersky também documentou o Lazarus usando watering holes, software de segurança sul-coreano, SIGNBT e COPPERHEDGE durante a Operation SyncHole anterior.
Esses relatórios documentam o uso anterior do Lazarus de AnySign4PC, SIGNBT, COPPERHEDGE e exploração por watering hole. Eles não atribuem a Operation Double Barrel ou as invasões do Gunra ao Lazarus.
Aplique Correções no Software, Busque Comportamentos Suspeitos
O aviso de segurança da KISA em 1 de junho identifica as versões 1.1.4.4 até 1.1.4.6 do AnySign4PC como vulneráveis a um estouro de buffer que permite execução remota de código. Ele lista a versão 1.1.5.0 como a correção e recomenda excluir as instalações vulneráveis.
Os relatórios recomendam buscar carregamento suspeito de DLLs por executáveis legítimos, dados criptografados armazenados em entradas de registro de serviço, execução de PE na memória, criação incomum de serviços, injeção no SyncHost.exe ou svchost.exe e túneis SSH de saída inesperados.
A ENKI descobriu que seu backdoor Tipo 1 excluía sua configuração de registro, carregador e arquivos de backdoor após copiá-los na memória ao executar nos modos 1, 2, 4 ou 5 com auto-proteção habilitada. Uma vez inicializado, os arquivos estavam ausentes do disco até que um desligamento limpo os gravava de volta, e o carregador restaurado tinha um hash diferente. Isso torna a telemetria comportamental mais útil do que um indicador de arquivo estável.
A Plainbit observou uma cadeia de persistência na qual uma tarefa agendada chamada RuntimeBroker iniciava task.vbs, que então executava um cliente SSH renomeado como SearchHost.exe para estabelecer um túnel reverso. A S2W recomenda preservar a memória do processo, linhas de comando, valores de registro, eventos de carregamento de DLL e registros de rede antes de encerrar processos ou isolar sistemas.
A AhnLab também descobriu que vários sites comprometidos estavam conectados à mesma empresa de desenvolvimento e gerenciamento, que ela descreveu como uma possível rota de cadeia de suprimentos. As evidências disponíveis não estabelecem que o código-fonte da empresa, processo de atualização de software ou plataforma central de gerenciamento foi comprometido.
O aviso da KISA em 1 de junho não lista um identificador CVE para a falha do AnySign4PC. Em 30 de julho de 2026, o The Hacker News encontrou apenas CVE-2020-7882 em buscas públicas no Programa CVE e NVD por AnySign4PC, uma vulnerabilidade de travessia de diretório não relacionada afetando versões mais antigas. Esse resultado não exclui um identificador reservado, não publicado ou descrito de forma diferente. Os softwares A e I da AhnLab permanecem não identificados em seu relatório, que também não divulga suas versões afetadas ou corrigidas.
