Como a campanha opera
Os e-mails usados na campanha reproduzem modelos oficiais do governo, são bilíngues (hindi e inglês) e citam trechos da legislação tributária para criar senso de urgência. Mensagens exigem envio de documentos em até 72 horas, impulsionando destinatários a abrir anexos ou seguir links fornecidos.
Detalhes técnicos observados
Os primeiros estágios usam arquivos ZIP protegidos por senha contendo loaders com shellcode; alguns variantes evoluíram para usar links do Google Docs como hospedeiros de segunda etapa. Notavelmente, mensagens partiram de contas QQ.com que passaram por verificações SPF, DKIM e DMARC, o que ajudou a contornar filtros de e‑mail tradicionais.
Ao extrair os ZIPs com senhas enviadas no corpo da mensagem, vítimas encontraram executáveis nomeados “NeededDocuments” que exploram regsvr32 proxy loading (execução sem arquivo persistente). O shellcode estabeleceu persistência, coletou credenciais armazenadas e abriu canais de comando associados à infraestrutura AsyncRAT.
Alvos
A campanha foca empresas do setor financeiro: corretoras, companhias financeiras e non‑banking financial corporations que mantêm trocas frequentes de documentos regulatórios com órgãos do governo — perfis que tornam essas organizações alvos lógicos para iscas que imitam comunicações oficiais.
Mitigações e limitações
Raven identificou a operação por inconsistências na estrutura da campanha; a ação preventiva dos analistas evitou infecções em larga escala nos alvos investigados. A cobertura destaca o emprego combinado de autenticação de remetente válida, anexos com proteção por senha e uso de plataformas legítimas (Google Docs) como fatores que tornam a detecção tradicional menos eficaz.
As fontes consultadas não fornecem uma lista pública completa de indicadores de comprometimento (IoCs) no texto resumido, portanto equipes de resposta a incidentes devem buscar os relatórios técnicos originais da Raven para ações de contenção e detecção.
Recomendações operacionais
- Reforçar triagem de e-mails que alegam origem governamental, mesmo quando SPF/DKIM/DMARC estiverem válidos;
- Bloquear execução de binários recebidos por e‑mail e monitorar uso de regsvr32 e execuções proxy;
- Treinar equipes financeiras para sinais de phishing que explorem prazos regulatórios e pedidos de documento urgentes.