Introdução
Pesquisadores da Forcepoint documentaram uma campanha de phishing que utiliza arquivos de atalho do Windows (.lnk) para entregar o ransomware conhecido como Global Group — uma linhagem associada à família Mamona e vinculada ao ecossistema Phorpiex. A investigação descreve uma cadeia de ataque projetada para furtividade e execução local.
Como a campanha é montada
Os atacantes enviam e‑mails com assunto enganoso, por exemplo “Your Document”, contendo anexos que parecem ZIPs com documentos. Na prática, o arquivo entregue é um atalho (.lnk) com dupla extensão (ex.: Document.doc.lnk); como o Windows frequentemente oculta extensões, o arquivo é apresentado ao usuário como um documento legítimo.
Vetor de execução
Ao clicar no atalho, o Windows Command Processor é invocado e, por sua vez, lança o PowerShell para baixar um segundo estágio a partir de um servidor remoto. Esse payload secundário costuma ser nomeado para se assemelhar a um driver do Windows e corresponde ao ransomware Global Group. A campanha faz uso de técnicas “Living off the Land” para reduzir sinais detectáveis por controles tradicionais.
Características do ransomware
Uma das características ressaltadas pelo relatório é o modo “mudo” (offline) do Global Group: em vez de recuperar chaves de um servidor remoto, o malware gera as chaves de encriptação localmente, o que lhe permite operar mesmo sem conectividade externa e ajuda a contornar detecções baseadas em tráfego de rede.
Táticas de evasão e limpeza
Os operadores empregam táticas anti‑forense, como usar um comando de ping como temporizador para adiar e, depois, apagar o binário inicial do disco. O malware também procura e termina processos associados a ferramentas de análise e bancos de dados, com o objetivo de maximizar a quantidade de dados criptografados antes que a detecção ocorra.
Impacto e limites das evidências
O relatório documenta a cadeia de ataque e fornece amostras de nota de resgate, mas não quantifica publicamente o número de vítimas atingidas nesta campanha específica. Também não há, no material citado, relato de impacto em organizações brasileiras ou implicação direta à LGPD.
Mitigações e orientações práticas
- Bloquear anexos executáveis como arquivos .lnk no gateway de e‑mail e restringir tipos de arquivo permitidos.
- Configurar exibição de extensões no Windows para reduzir o risco de enganos via dupla extensão.
- Monitorar uso do PowerShell e invocações do cmd.exe que disparem downloads e execuções não autorizadas.
- Aplicar regras de Endpoint Detection and Response que detectem comportamentos “Living off the Land” e ações de limpeza de artefatos.
- Isolar hosts suspeitos para análise forense e preservação de evidências, pois os operadores removem binários e dificultam investigações.
Repercussão
A análise da Forcepoint, citada no relatório publicado pelo Cyber Security News, destaca o retorno do ecossistema Phorpiex e a evolução do Global Group para modos de operação mais autônomos. As recomendações enfatizam controles de e‑mail, monitoramento comportamental e políticas de redução de superfície de ataque.
Fonte
Relato baseado em pesquisa da Forcepoint e cobertura pelo veículo Cyber Security News (autor: Tushar Subhra Dutta). O material descreve técnicas e mitigação, sem fornecer métricas públicas sobre o número total de vítimas.