Introdução
Pesquisadores identificaram uma campanha de spear‑phishing altamente dirigida ao sistema judicial argentino que utiliza resoluções e documentos judiciais falsos como isca para implant ar um Remote Access Trojan (RAT) sofisticado.
Descoberta e escopo
O incidente foi documentado por analistas da Seqrite e relatado pelo Cyber Security News. A campanha mira profissionais do Judiciário argentino e órgãos ligados ao sistema de justiça, explorando a credibilidade de comunicações formais para induzir vítimas a abrir arquivos.
Vetor e cadeia de infecção
O ataque começa com um e‑mail contendo um arquivo ZIP que aparenta ser uma notificação judicial. No interior, está um arquivo atalho (.LNK) camuflado como PDF, além de um script em lote e um documento de aparência legítima usado como isca (decoy). Ao clicar no atalho, o mecanismo de execução aciona uma cadeia que
- lança o PowerShell em modo oculto, contornando políticas de execução;
- executa um loader por meio de um batch script que busca um segundo estágio hospedado no GitHub;
- instala um executável final disfarçado de "msedge_proxy.exe" no diretório de dados do Microsoft Edge para parecer legítimo;
- desdobra um RAT escrito em Rust equipado com capacidades extensas de anti‑análise.
Evidências técnicas e capacidades do RAT
Segundo o relatório, o malware verifica o ambiente antes de executar—procurando máquinas virtuais, sandboxes e ferramentas de depuração—e encerra sua execução se detectar análise. Em operação, estabelece comunicações cifradas com servidores de comando e controle e oferece funcionalidades como exfiltração de arquivos, persistência, colheita de credenciais e módulos que podem ser usados para implantar ransomware.
Por que a campanha é eficaz
A alta qualidade do documento decoy — incluindo linguagem formal, numeração de processos, assinaturas e referências a tribunais reais — aumenta a probabilidade de clique por parte de magistrados, assessores e outros profissionais que rotineiramente lidam com resoluções judiciais. O uso de atalhos (.LNK) e de scripts que chamam infraestrutura pública (GitHub) permite ao atacante ocultar a carga útil real atrás de componentes aparentemente legítimos.
Limitações da investigação pública
O relatório não fornece números sobre vítimas, nem confirma atribuição. Também não há indicação pública sobre domínios ou endereços de C2 enumerados de forma a permitir uma lista de IoCs completa para bloqueio imediato.
Recomendações operacionais (baseadas nas técnicas identificadas)
- Tratar com cautela arquivos compactados e atalhos recebidos por e‑mail, mesmo quando acompanhados de documentos plausíveis;
- bloquear execução automática de arquivos .LNK provenientes de e‑mail e assegurar políticas restritivas de execução de PowerShell (registro e bloqueio de execução não autorizada);
- monitorar escrita de executáveis em diretórios de perfil de navegadores e alertar para execuções atípicas;
- aplicar controles de detecção para atividades de exfiltração e conexões C2 cifradas incomuns.
Conclusão
A campanha documentada pela Seqrite demonstra adaptação tática ao ambiente alvo: conteúdo jurídico convincente e uso de artefatos aparentemente legítimos para reduzir suspeita. Falta, entretanto, transparência sobre alcance e atribuição. Organizações do setor jurídico na América Latina devem revisar controles de ingestão de documentos e fortalecer mecanismos de defesa contra execução remota via atalhos e scripts.