A ameaça cibernética SpyGlace, associada ao grupo APT-C-60, retornou em uma campanha sofisticada que utiliza serviços de desenvolvimento confiáveis para ocultar atividades maliciosas. A operação, identificada por analistas do JPCERT/CC, demonstra uma evolução nas táticas de evasão de redes corporativas, explorando a confiança inerente em plataformas como GitHub, GitLab e jsDelivr.
Contexto da campanha e evolução do grupo
O SpyGlace não é uma ameaça nova, mas sua reativação em 2026 marca uma mudança significativa na infraestrutura de entrega. Enquanto operações anteriores dependiam de métodos mais diretos, a campanha atual integra ferramentas de desenvolvimento legítimas no ciclo de vida do ataque. Isso dificulta a detecção baseada apenas em listas de bloqueio de domínios, pois o tráfego parece legítimo aos olhos dos sistemas de segurança tradicionais.
Os analistas observaram versões do malware 3.1.15, 3.1.17 e 3.1.18, sem diferenças funcionais maiores em relação às amostras anteriores, mas com uma infraestrutura de comando e controle (C2) mais diversificada. O grupo manteve técnicas de 2024 e 2025, refinando a entrega para evitar detecção em redes corporativas rigorosas.
Vetores de ataque e engenharia social
O ataque inicia-se com e-mails de spear-phishing direcionados a organizações, muitas vezes no Japão, conforme rastreado pelo JPCERT/CC. Os e-mails contêm links para arquivos compactados (RAR) ou anexos que, ao serem abertos, executam arquivos de atalho do Windows (LNK).
Esses arquivos LNK são projetados para iniciar o processo de infecção sem levantar suspeitas imediatas. O script interno utiliza componentes legítimos do Windows, como o mshta.exe, para executar JavaScript oculto que baixa e decodifica payloads adicionais. Essa técnica de uso de ferramentas nativas é conhecida como Living off the Land (LotL), que reduz a necessidade de baixar executáveis maliciosos diretamente, dificultando a análise estática.
Uso de serviços legítimos para evasão
Um dos aspectos mais críticos desta campanha é o roteamento dos downloads subsequentes através de repositórios de código e serviços de entrega de conteúdo. O SpyGlace utiliza GitHub, GitLab, jsDelivr e Codeberg para hospedar os componentes do malware. Como esses serviços são amplamente utilizados por desenvolvedores legítimos, o tráfego gerado por eles é frequentemente permitido através de firewalls corporativos.
Os operadores criam repositórios públicos com nomes genéricos para hospedar os arquivos de download. Isso permite que eles alterem o conteúdo sem alterar o link original do lure (isca), mantendo a eficácia do ataque mesmo se um arquivo específico for bloqueado. A infraestrutura é dinâmica, com novos repositórios sendo criados rapidamente para substituir os comprometidos.
Análise técnica do payload
Após a execução do arquivo LNK, o malware extrai fragmentos de arquivos .db para reconstruir um downloader. Este downloader, por sua vez, coleta mais componentes e loaders antes de lançar o SpyGlace final. O processo é escalonado, o que significa que cada etapa pode ser modificada independentemente, permitindo que os atacantes atualizem o payload sem precisar reenviar o e-mail de phishing inicial.
O malware também demonstra capacidade de comunicação com servidores C2 específicos, utilizando endereços IP que foram identificados como infraestrutura de comando e controle. A comunicação é projetada para parecer tráfego de desenvolvimento normal, misturando-se com o ruído de fundo da rede corporativa.
Recomendações para equipes de segurança
Para mitigar essa ameaça, as equipes de segurança devem adotar uma abordagem comportamental em vez de apenas baseada em indicadores. Monitorar a execução de mshta.exe a partir de locais temporários ou extraídos é crucial. Além disso, a análise de tráfego de rede deve considerar o contexto do processo que gera a solicitação. Um script iniciado por um arquivo LNK acessando o GitHub é diferente de um navegador acessando o mesmo site.
A implementação de controles de endpoint que detectam atividades anômalas de processos, como a criação de scripts ou a execução de comandos git a partir de diretórios temporários, pode ajudar a identificar a infecção em estágios iniciais. A conscientização dos usuários sobre a abertura de arquivos LNK e arquivos compactados de fontes não confiáveis também permanece essencial.
Indicadores de comprometimento (IoCs)
Os indicadores de comprometimento fornecidos pelo JPCERT/CC incluem endereços IP de servidores C2, URLs de repositórios maliciosos e hashes de arquivos. No entanto, os atacantes podem criar novas contas e repositórios rapidamente, tornando a detecção baseada apenas em IoCs insuficiente. A vigilância contínua e a correlação de eventos são necessárias para identificar a atividade do SpyGlace em tempo real.