Descoberta e escopo
Uma campanha sofisticada de ciberataque ligada ao grupo de ameaças conhecido Tropic Trooper surgiu recentemente, utilizando iscas de documentos com tema militar para atingir indivíduos de língua chinesa em Taiwan, além de indivíduos na Coreia do Sul e no Japão. A campanha foi descoberta em 12 de março de 2026, quando pesquisadores encontraram um arquivo ZIP malicioso que desencadeou uma cadeia de ataque em múltiplas etapas.
O que torna esta campanha distinta é sua mudança para ferramentas ofensivas de código aberto mais novas, combinadas com um abuso criativo de infraestrutura de desenvolvimento que a maioria das pessoas nunca pensaria em sinalizar como suspeita.
Vetor e exploração
No centro deste ataque está uma versão trojanizada do binário do leitor de código aberto SumatraPDF, disfarçado como um documento intitulado "Análise Comparativa da Cooperação de Submarinos Nucleares EUA-Reino Unido e EUA-Austrália (2025).exe". Quando uma vítima executa este arquivo, o carregador baixa e exibe silenciosamente uma isca PDF convincente, mostrando conteúdo legítimo sobre submarinos americanos e a parceria de segurança AUKUS, enquanto simultaneamente baixa e executa um agente AdaptixC2 Beacon em segundo plano.
Pesquisadores da Zscaler ThreatLabz identificaram e analisaram a campanha completa, atribuindo-a com alta confiança ao Tropic Trooper, um ator de ameaça também rastreado como Earth Centaur e Pirate Panda. Eles notaram que o grupo usou um carregador semelhante ao carregador TOSHIS, que anteriormente estava conectado ao Tropic Trooper em uma campanha anterior conhecida como TAOTH.
Análise técnica detalhada
O aspecto mais tecnicamente inventivo desta campanha é como o Tropic Trooper projetou seu ouvinte de beacon AdaptixC2 personalizado para usar o GitHub como sua plataforma de comando e controle (C2). Em vez de se comunicar diretamente com um servidor controlado por atacantes tradicional, o beacon interage com um repositório do GitHub, lendo atribuições de tarefas das Issues do GitHub e enviando resultados de volta ao mesmo repositório como conteúdo de arquivo.
O agente começa recuperando seu endereço IP externo do ipinfo.io, já que a comunicação baseada no GitHub não expõe essa informação ao servidor do atacante. Ele então envia um beacon inicial via solicitação POST para a Issue número 1 do GitHub, criptografada usando uma chave de sessão RC4 gerada a partir de uma semente aleatória, para estabelecer a sessão.
Todo o tráfego C2 é criptografado usando RC4 e, para cobrir ainda mais seus rastros, os beacons enviados para o GitHub foram excluídos dentro de 10 segundos após serem postados, destruindo chaves de sessão e tornando a decifração por qualquer observador praticamente impossível.
Medidas de mitigação recomendadas
Organizações podem tomar as seguintes medidas para reduzir sua exposição a este tipo de ataque:
- Bloquear ou monitorar tráfego para endpoints de API do GitHub inesperados: De endpoints não desenvolvedores, particularmente solicitações para repositórios criados por usuários.
- Aplicar políticas estritas de allowlist de aplicativos: Para impedir a execução de binários trojanizados que imitam software legítimo como SumatraPDF.
- Monitorar criação incomum de tarefas agendadas: Usando nomes que imitam serviços do sistema, como "MSDNSvc" ou "MicrosoftUDN".
- Restringir ou auditar o uso de túneis do VS Code: Em ambientes corporativos, já que o recurso pode ser usado para acesso remoto não autorizado.
- Caçar uso de ipinfo.io e serviços de busca de IP semelhantes: De sistemas internos, o que pode indicar comportamento de beaconing.
- Aplicar controles de gateway de e-mail e arquivo: Para capturar arquivos ZIP maliciosos contendo arquivos executáveis disfarçados como documentos.
Implicações para CISOs
A evolução do Tropic Trooper para ferramentas de código aberto e o uso de infraestrutura de desenvolvimento legítima (VS Code, GitHub) torna a atribuição mais difícil e reduz a barreira para reutilização em diferentes operações. Isso exige que as equipes de segurança revisem suas políticas de uso de ferramentas de desenvolvimento e monitorem tráfego de rede que normalmente seria confiado.
Perguntas frequentes
Qual é o objetivo principal deste ataque? O objetivo é obter acesso remoto persistente a sistemas comprometidos, utilizando ferramentas legítimas para evitar detecção.
Como detectar este tipo de ataque? Monitorar tráfego de API do GitHub de não desenvolvedores e verificar o uso de túneis VS Code em máquinas que não deveriam ter acesso.