Três novos programas maliciosos russos da COLDRIVER e sua perigosa evolução

O grupo russo de ciberespionagem COLDRIVER , também conhecido em relatórios de segurança como Star Blizzard, ColdRiver, Callisto ou UNC4057, deu um salto significativo em seus métodos de ataque após uma de suas principais ferramentas, o LOSTKEYS, ter sido completamente exposta por pesquisadores do Google . Longe de se intimidar, o grupo reagiu em poucos dias com uma nova geração de malware projetada para manter suas operações de espionagem em plena capacidade.

Essa mudança de estratégia destaca a adaptabilidade e o rápido ritmo de desenvolvimento do COLDRIVER . Seus alvos preferenciais continuam sendo jornalistas, organizações de direitos humanos, ONGs, governos, assessores políticos e outras figuras de destaque na Europa e nos Estados Unidos, mas o foco não é mais apenas o roubo de credenciais, e sim assumir o controle direto de sistemas comprometidos por meio de uma complexa cadeia de infecção baseada em CAPTCHAs falsos e na execução de comandos do PowerShell.

Três novos malwares russos da COLDRIVER: NOROBOT, YESROBOT e MAYBEROBOT.

Após a publicação da análise técnica do LOSTKEYS pelo Google Threat Intelligence Group (GTIG) , os operadores do COLDRIVER levaram apenas cinco dias para implantar três novas famílias de malware: NOROBOT, YESROBOT e MAYBEROBOT. Esses componentes não operam isoladamente, mas formam uma cadeia de distribuição interconectada que substitui completamente o LOSTKEYS no arsenal do grupo.

Analistas do Google descreveram essa família "ROBOT" como um conjunto de implantes relacionados que cooperam em diferentes fases da infecção . O NOROBOT atua como o componente inicial, instalado no sistema por meio de um arquivo DLL executado com o rundll32.exe; o YESROBOT aparece como um backdoor minimalista em Python, usado brevemente como uma solução temporária; e o MAYBEROBOT se estabelece como o principal implante em PowerShell, mais estável, furtivo e flexível, projetado para operações de espionagem prolongadas.

O grupo COLDRIVER deixou de se concentrar quase exclusivamente em phishing de credenciais e passou a usar malware personalizado que permite extrair documentos, arquivos de sistema e outras informações confidenciais diretamente dos dispositivos das vítimas. Essa mudança aumenta o impacto potencial de cada intrusão e complica a detecção, pois não basta mais monitorar logins suspeitos; agora, é preciso monitorar de perto atividades anômalas do PowerShell, do rundll32 e o tráfego HTTPS criptografado para servidores de comando e controle (C2) obscuros.

As novas ferramentas foram projetadas para serem implantadas seletivamente contra alvos de interesse específico, frequentemente identificados previamente por meio de campanhas de phishing ou outras formas de reconhecimento. O objetivo é claro: manter o acesso prolongado aos seus dispositivos, coletar informações estratégicas e burlar sistemas de segurança que já aprenderam a detectar variantes anteriores como o LOSTKEYS.

Cadeia de infecção baseada em iscas ClickFix e CAPTCHAs falsos.

Uma das mudanças mais marcantes nas operações da COLDRIVER é o abandono gradual do clássico e-mail de phishing com links ou anexos maliciosos em favor de uma técnica de engenharia social conhecida como ClickFix. Essa técnica se baseia em páginas HTML projetadas para simular problemas técnicos ou verificações de segurança muito familiares ao usuário, como o típico "Não sou um robô".

Nessas campanhas, a vítima chega a uma página que exibe um CAPTCHA falso com a mensagem "Não sou um robô" ou uma janela pop-up que aparenta ser uma verificação de rotina. Em vez de resolver um simples quebra-cabeça visual, o usuário é induzido a copiar e colar um comando na caixa de diálogo "Executar" do Windows ou em um console do PowerShell, acreditando que está corrigindo um erro de verificação. Esse comando é, na realidade, o ponto de entrada para o ataque.

O Google apelidou a isca HTML inicial de COLDCOPY . Este arquivo HTML ClickFix é responsável por instalar uma DLL chamada NOROBOT no sistema, que é o componente responsável pela próxima etapa na cadeia de infecção. Na prática, a vítima só precisa seguir as instruções aparentemente inofensivas do CAPTCHA falso para que o NOROBOT seja instalado e esteja pronto para funcionar.

Em estágios anteriores, o LOSTKEYS já utilizava uma abordagem semelhante com captchas falsos , enganando o usuário para que executasse scripts do PowerShell que iniciavam uma complexa cadeia de três fases. Nessa versão anterior, até mesmo a resolução da tela era verificada usando algoritmos de criptografia e hash para impedir a execução em máquinas virtuais de análise , e cifras de substituição e VBScript eram usados ​​para ofuscar a carga útil final.

Com a família ROBOT, a filosofia permanece a mesma, mas o mecanismo de entrega é refinado e cada etapa da infecção é melhor modularizada . O COLDRIVER aproveita a familiaridade do usuário com CAPTCHAs e mensagens de verificação para aumentar a confiança, reduzindo a necessidade de enviar anexos suspeitos ou links muito óbvios. Isso resulta em campanhas mais difíceis de detectar, tanto para os usuários quanto para algumas soluções de segurança.

NOROBOT: porta de entrada e elo fundamental na cadeia

O NOROBOT é o componente que inicia a infecção em sistemas comprometidos . Ele é distribuído como uma DLL executada pelo rundll32.exe, um binário legítimo do Windows que os atacantes exploram para disfarçar suas atividades. Sua função principal é baixar e instalar o próximo malware na cadeia, que pode ser o YESROBOT ou, em versões mais recentes, o MAYBEROBOT.

Nos estágios iniciais da campanha, o NOROBOT incluía uma etapa visível e facilmente detectável : o download e a instalação de uma versão completa do Python 3.8 no computador da vítima, necessária para o funcionamento do YESROBOT. Essa ação gerava arquivos adicionais, alterações visíveis no sistema e tráfego de rede que poderiam levantar suspeitas entre analistas ou ferramentas de segurança.

Ao longo do tempo , os operadores do COLDRIVER aprimoraram o NOROBOT para torná-lo mais silencioso e eficaz . Pesquisadores do Google observam que a cadeia de infecção associada a essa DLL passou por fases de simplificação, visando aumentar a probabilidade de execução bem-sucedida, antes de reintroduzir complexidade em pontos específicos, como o uso de chaves criptográficas divididas e outros mecanismos de ofuscação que dificultam a análise estática e dinâmica.

O desenvolvimento contínuo do NOROBOT demonstra que a COLDRIVER não se limita a lançar uma versão e esquecê-la, mas sim revisa, testa e atualiza constantemente seu código para contornar novas assinaturas de detecção, regras de SIEM e análises heurísticas. Esse aprimoramento contínuo está alinhado com o padrão observado pela GTIG: uma "taxa de operações" crescente, em que as iterações do malware se sucedem rapidamente após cada vazamento ou relatório público.

Do ponto de vista defensivo, monitorar execuções suspeitas do rundll32.exe que carregam DLLs incomuns e monitorar conexões de saída para domínios ou IPs desconhecidos é fundamental para detectar a atividade do NOROBOT. Seu papel como primeiro elo na cadeia o torna um alvo prioritário para detecção precoce.

YESROBOT: solução temporária e com backdoor mínimo

YESROBOT representa a primeira resposta rápida da COLDRIVER após a exposição do LOSTKEYS, funcionando como uma porta dos fundos muito básica escrita em Python. Os registros do Google indicam que essa porta dos fundos foi implantada apenas em alguns casos específicos durante cerca de duas semanas no final de maio, logo após os detalhes técnicos do LOSTKEYS terem sido divulgados.

Em termos funcionais, o YESROBOT utiliza conexões HTTPS com um servidor de comando e controle (C2) embutido no código para receber instruções. Embora seu código seja relativamente simples, ele permite o download e a execução de arquivos adicionais no sistema infectado, bem como a localização e a exfiltração de documentos considerados valiosos pelos atacantes. É uma ferramenta suficiente para estabelecer um acesso remoto inicial, mas carece dos recursos avançados de seu sucessor.

O fato de tão poucas infecções terem sido observadas com o YESROBOT corrobora a teoria dos analistas: provavelmente tratava-se de uma "solução paliativa" temporária enquanto o grupo finalizava o desenvolvimento do implante que realmente pretendiam usar a longo prazo, o MAYBEROBOT. De fato, a estrutura inicial do NOROBOT, que baixava todo o pacote Python, sugere um certo grau de improvisação para suprir a lacuna deixada pelo LOSTKEYS.

Com o surgimento do MAYBEROBOT e a remoção da exigência de uma instalação completa do Python, o YESROBOT foi praticamente abandonado em favor do COLDRIVER. Mesmo assim, sua existência confirma que o grupo está disposto a sacrificar elegância e discrição em prol da velocidade quando pressionado pela divulgação pública de suas ferramentas anteriores.

Para as equipes de segurança, qualquer vestígio de Python sendo executado de forma anômala em máquinas onde não deveria ser usado deve acender um alerta, especialmente se combinado com atividade do rundll32 e tráfego criptografado para servidores C2 desconhecidos, pois pode indicar uma tentativa de usar o YESROBOT ou outras ferramentas personalizadas baseadas nessa linguagem.

MAYBEROBOT: Implantação em um PowerShell mais maduro e flexível

MAYBEROBOT é a evolução natural do arsenal do COLDRIVER e o componente que, segundo pesquisadores, substituiu com sucesso o YESROBOT em campanhas recentes. Ao contrário de seu antecessor em Python, este implante é escrito em PowerShell, permitindo melhor integração com o ambiente Windows e reduzindo a necessidade de componentes externos visíveis.

Este implante foi projetado para ser extensível e adaptável às necessidades de cada operação . Suas capacidades incluem baixar e executar payloads a partir de uma URL controlada pelos atacantes, executar comandos arbitrários via cmd.exe e executar diretamente código PowerShell adicional. Isso permite que os operadores ampliem a funcionalidade do malware em tempo quase real, sem precisar redesenhar todo o implante.

Por ser baseado em PowerShell, o MAYBEROBOT explora uma superfície de ataque muito comum no ecossistema Windows, onde o uso de scripts e automação é frequente tanto entre administradores legítimos quanto entre atacantes. Essa dualidade dificulta a filtragem rigorosa, já que bloquear completamente o PowerShell nem sempre é viável em ambientes corporativos complexos.

Análises publicadas sugerem que o MAYBEROBOT é reservado para alvos estratégicos , provavelmente identificados previamente por meio de campanhas de phishing ou coleta de informações. O objetivo não é um ataque massivo, mas sim uma intrusão cirúrgica que permita acesso persistente a sistemas específicos para roubar dados, documentos confidenciais e outras informações valiosas por períodos prolongados.

Diante desse tipo de ameaça, é essencial ter políticas de uso rigorosas do PowerShell (por exemplo, limitando-o a versões com registro de scripts, desativando a execução de scripts não assinados, ativando o registro avançado e correlacionando sua atividade com EDR/SIEM) e revisar proativamente comandos, scripts e conexões de rede suspeitos vinculados à sua execução.

Do roubo de credenciais ao controle direto de dispositivos

Antes do surgimento do LOSTKEYS e da família ROBOT , o COLDRIVER era conhecido principalmente por campanhas de phishing altamente direcionadas contra diplomatas ocidentais, dissidentes, pessoal de inteligência e trabalhadores de ONGs, com o objetivo de obter suas credenciais de login para serviços em nuvem e contas de e-mail.

A publicação dos relatórios do Google marcou um ponto de virada: o LOSTKEYS demonstrou que o grupo estava dando o salto para a invasão direta de dispositivos . Esse malware se propagava por meio de cadeias de infecção personalizadas, cada uma com seus próprios identificadores e chaves de criptografia, e tinha a capacidade de roubar arquivos de sistema, documentos e outros dados locais, além de capturar credenciais continuamente.

Com NOROBOT, YESROBOT e MAYBEROBOT, essa tendência se reforça e se torna mais sofisticada . Em vez de simplesmente capturar senhas, o COLDRIVER busca instalar implantes persistentes que lhe permitem operar dentro das redes de seus alvos, mover-se lateralmente, exfiltrar grandes volumes de informações e adaptar suas táticas com base nas defesas encontradas.

Especialistas do setor lembram que o roubo de credenciais continua sendo um risco constante , pois mesmo as senhas mais fortes podem ser comprometidas por malware desse tipo, especialmente se os usuários não utilizarem autenticação multifator ou se as organizações não monitorarem continuamente a existência de credenciais comprometidas. No entanto, o foco está se voltando cada vez mais para a necessidade de proteger também o endpoint contra essas cadeias de senhas avançadas. Mais informações sobre casos de roubo de senhas ajudam a compreender os riscos.

O próprio Google reagiu adicionando os domínios e arquivos associados ao LOSTKEYS e às novas campanhas aos seus sistemas de Navegação Segura, além de enviar alertas diretos aos usuários do Gmail e do Workspace potencialmente afetados. Mesmo assim, nenhuma solução automatizada pode substituir as boas práticas de segurança e o monitoramento ativo de comportamentos anômalos em computadores.

Como os CAPTCHAs "Não sou um robô" são explorados para disseminar malware

O uso malicioso de CAPTCHAs é um dos elementos mais perigosos dessas campanhas . Os usuários estão acostumados a ver verificações do tipo "Não sou um robô" em diversos serviços legítimos, então tendem a confiar nelas quase sem pensar, especialmente quando parecem fazer parte da experiência normal de navegação.

Os atacantes por trás do COLDRIVER criam páginas da web aparentemente inofensivas com formulários ou conteúdo que imitam sites confiáveis ​​e, em seguida, adicionam um CAPTCHA falso ou uma janela pop-up alertando sobre um problema técnico. Em vez de simplesmente clicar em uma caixa, a mensagem pode instruir o usuário a copiar um comando na caixa de diálogo "Executar" do Windows, instalar uma atualização falsa ou baixar um arquivo para concluir a verificação.

Ao executar essas ações, o usuário, sem saber, executa scripts que modificam o registro do sistema , agendam tarefas para garantir a persistência e introduzem novos malwares, como YESROBOT ou MAYBEROBOT, no computador. A maioria dos programas antivírus tradicionais pode ter dificuldades para detectar essas ameaças em tempo real, especialmente se dependerem de criptografia, ofuscação e do uso de ferramentas legítimas do sistema operacional.

Especialistas enfatizam que essa técnica não é totalmente nova, mas foi aprimorada ao longo do tempo . Do CAPTCHA clássico, que consistia em resolver problemas matemáticos ou selecionar imagens, ela evoluiu para caixas e fluxos de verificação muito mais plausíveis. Os atacantes replicam a aparência de sistemas legítimos com bastante fidelidade, tornando mais difícil distinguir uma verificação legítima de uma fraudulenta.

Tudo isso faz parte de uma tendência mais ampla em que campanhas tradicionais, como o phishing por e-mail , continuam a se aprimorar graças a ferramentas de automação e, cada vez mais, graças à Inteligência Artificial . Isso permite a criação de mensagens mais convincentes, páginas falsas com melhor design e sequências de ataque mais refinadas, aumentando a probabilidade de o usuário cair no golpe.

Impacto global e casos relacionados fora do ambiente puramente técnico

As atividades da COLDRIVER não se limitam ao âmbito puramente digital . Paralelamente às revelações sobre a NOROBOT, a YESROBOT e a MAYBEROBOT, as autoridades holandesas descobriram um caso que ilustra como essas operações podem contar com colaboradores em campo.

O Ministério Público holandês (OPPRO) anunciou que três jovens de 17 anos estão sendo investigados por supostamente prestarem serviços a um governo estrangeiro . Um deles, supostamente em contato com um grupo de hackers ligado ao governo russo, teria instruído os outros dois a mapear redes Wi-Fi em diferentes áreas de Haia, informações que teriam sido fornecidas em troca de pagamento.

Segundo a OM, esse mapeamento de rede poderia ser usado para operações de espionagem digital e ciberataques , ligando assim a atividade física (coleta de dados em infraestrutura sem fio) a campanhas avançadas de malware atribuídas a agentes estatais. Dois dos suspeitos foram presos em setembro de 2025, enquanto o terceiro, com um papel considerado mais limitado, permanece em prisão domiciliar.

As autoridades holandesas acrescentaram que, por enquanto, não há indícios de que o suspeito tenha sofrido pressão em contato direto com o grupo de hackers , sugerindo que a colaboração foi voluntária, provavelmente motivada por ganho financeiro. Este caso se encaixa na tendência de terceirizar certas tarefas de reconhecimento, reduzindo a exposição direta dos principais operadores.

Em conjunto, este cenário confirma que a espionagem cibernética patrocinada por Estados combina técnicas avançadas, engenharia social e apoio logístico físico , criando uma ameaça muito difícil de combater apenas com ferramentas técnicas. A cooperação internacional e a aplicação da lei desempenham um papel tão crucial quanto a melhoria contínua da cibersegurança defensiva.

Medidas de proteção recomendadas para usuários e organizações

Embora as campanhas da COLDRIVER visem principalmente clientes de alto valor , muitos dos vetores utilizados (páginas com CAPTCHAs falsos, arquivos HTML maliciosos, abuso do PowerShell) também podem afetar usuários domésticos e pequenas empresas. Portanto, a implementação de uma combinação de boas práticas e controles técnicos é crucial.

Do ponto de vista da higiene digital, o bom senso continua sendo a primeira linha de defesa . Se um site, mensagem pop-up ou suposto CAPTCHA pedir que você copie e cole um comando, instale um plugin estranho, baixe um arquivo ou faça login em um site desconhecido, o mais sensato é desconfiar e fechar a página. Em circunstâncias normais, CAPTCHAs legítimos não exigem esse tipo de ação invasiva.

Em um ambiente corporativo, especialistas recomendam monitorar de perto a execução do rundll32.exe e do PowerShell , bloqueando atividades suspeitas e configurando alertas para execuções fora dos padrões normais. Também é aconselhável filtrar ou bloquear, quando possível, anexos de e-mail em HTML e páginas com CAPTCHAs falsos detectados, além de atualizar continuamente os indicadores de comprometimento (IOCs) relacionados ao NOROBOT, YESROBOT e MAYBEROBOT e habilitar o SmartScreen no Windows.

Outra camada importante é a proteção da rede: reforçar a inspeção do tráfego HTTPS para servidores C2 desconhecidos , aplicar listas de bloqueio dinâmicas, usar DNS filtrado e contar com ferramentas de sandbox para analisar o comportamento de arquivos e scripts suspeitos antes de permitir sua execução em ambientes de produção.

Além disso, tanto em residências quanto em empresas, é essencial ter um bom antivírus ou pacote de segurança ( os melhores programas antivírus em tempo real ), devidamente atualizado e complementado com atualizações automáticas do sistema operacional e dos aplicativos. No ambiente Windows, soluções como Microsoft Defender, Avast, Bitdefender e outras alternativas confiáveis ​​oferecem uma base sólida, embora não infalível. Atualizações constantes ajudam a mitigar vulnerabilidades que invasores poderiam explorar para obter privilégios ou burlar os controles de segurança.

Se suspeitar que inseriu a sua palavra-passe num website suspeito ou executou um comando malicioso, aja rapidamente: altere imediatamente as credenciais afetadas , procure sinais de logins incomuns, ative a autenticação multifator sempre que possível e considere realizar uma verificação completa do sistema com ferramentas antimalware especializadas e verificar a integridade dos ficheiros.

O histórico recente do LOSTKEYS e dos três novos malwares russos da COLDRIVER demonstra que os grupos de ciberespionagem apoiados por Estados estão em constante evolução : quando uma ferramenta é divulgada e se torna vulnerável, eles reagem em poucos dias com novas variantes mais modulares e melhor adaptadas às defesas atuais, dependendo cada vez mais de artifícios como CAPTCHAs falsos e do uso inteligente de componentes legítimos do sistema para não serem detectados.