Uma onda global de worms por e-mail atingiu sistemas de controle industrial (ICS) no quarto trimestre de 2025, marcando uma das mudanças mais preocupantes na ameaça observada em ambientes de tecnologia operacional (OT) nos últimos anos. O aumento foi amplamente ligado a um único malware que se espalhou silenciosamente através de e-mails de phishing, alcançando redes ICS em todas as regiões do mundo em apenas dois meses.
Descoberta e escopo
No centro dessa onda de ameaças está um worm de backdoor conhecido como Backdoor.MSIL.XWorm, um malware construído para se estabelecer em sistemas infectados e entregar aos atacantes controle remoto total sobre as máquinas comprometidas. O que torna esse surto particularmente alarmante é que essa ameaça não tinha presença em computadores ICS no trimestre anterior, mas apareceu em todas as regiões globais no Q4 de 2025, representando um salto súbito e generalizado.
Os analistas da Securelist identificaram que a propagação ativa do Backdoor.MSIL.XWorm através de e-mails de phishing estava intimamente ligada a uma técnica específica de ofuscação de malware que os atores de ameaça usaram pesadamente durante campanhas de phishing em massa ao longo do Q4 de 2025. Essas campanhas, conhecidas desde 2024 sob o nome "Curriculum-vitae-catalina", confiavam em um truque enganadoramente simples, mas eficaz.
Vetor e exploração
Os atacantes enviaram e-mails para gerentes de RH, recrutadores e funcionários envolvidos em decisões de contratação, disfarçando mensagens maliciosas como candidaturas a emprego com linhas de assunto como "Currículo" ou "Currículo Anexado". Os e-mails carregavam um arquivo executável malicioso apresentado como um currículo, tipicamente nomeado Curriculum Vitae-Catalina.exe, que infectava o sistema no momento em que era aberto.
A infecção não se desenrolou de uma só vez. No Q4 de 2025, a ameaça foi lançada em duas ondas distintas. A primeira atingiu em outubro, mirando Rússia, Europa Ocidental, América do Sul e América do Norte, especificamente o Canadá. Um segundo pico seguiu em novembro, espalhando-se para regiões adicionais antes que a campanha finalmente desacelerasse em dezembro.
A maneira como o Backdoor.MSIL.XWorm opera revela uma abordagem calculada para ganhar e manter acesso dentro de redes industriais. Quando um alvo abre o arquivo de currículo falso, o malware executa silenciosamente em segundo plano, estabelecendo persistência no sistema para sobreviver a reinicializações e manutenção de rotina. A partir desse ponto, ele abre um canal para controle remoto, permitindo que os atacantes monitorem a atividade, se movam pela rede e potencialmente interfiram em processos de tecnologia operacional.
Impacto e alcance
A porcentagem geral de computadores ICS nos quais worms foram bloqueados aumentou 1,6 vezes para 1,60% durante esse período, um aumento acentuado impulsionado quase inteiramente por essa única campanha. Regionalmente, a porcentagem de computadores ICS com objetos maliciosos bloqueados variou de 8,5% na Europa do Norte a 27,3% na África no Q4 de 2025, mostrando o quão amplo o gap nos níveis de exposição permanece em todo o globo.
A Europa do Sul registrou o aumento mais íngreme, com a atividade de bloqueio de worms subindo 2,16 vezes, em grande parte porque essa região já tinha a maior taxa de ameaças de origem de e-mail entre ambientes ICS globalmente. O setor de petróleo e gás se destacou como a única indústria a ver um aumento em ameaças bloqueadas durante esse período, particularmente na Rússia e na Ásia Central.
Medidas de mitigação recomendadas
Equipes de segurança gerenciando ambientes ICS ou OT devem tratar qualquer e-mail não solicitado com um anexo executável como um risco sério, mesmo quando esses e-mails parecem vir de candidatos a emprego genuínos. As organizações são aconselhadas a impor políticas estritas de filtragem de e-mail que bloqueiem anexos executáveis antes que eles alcancem os usuários finais.
Funcionários em funções de RH e qualquer pessoa com acesso a sistemas adjacentes à OT devem receber treinamento focado na identificação de tentativas de phishing que imitam comunicações de contratação. Políticas de mídia removível também devem ser reforçadas, particularmente em regiões como a África, onde a infecção baseada em USB provou ser um vetor ativo durante essa campanha. Manter os endpoints ICS atualizados e executando ferramentas de detecção baseadas em comportamento é essencial para capturar ameaças como XWorm, que são especificamente projetadas para evadir defesas baseadas em assinatura.