Um coletivo de hackers com alta probabilidade de ligação ao governo chinês vem realizando, desde 2024, uma campanha de espionagem direcionada a provedores de telecomunicações na América do Sul, segundo alerta divulgado pela Cisco Talos. A organização de inteligência em cibersegurança identificou o grupo como UAT-9244, que emprega três malwares inéditos e técnicas avançadas de ocultação para comprometer infraestruturas de internet, telefonia e dados.

Quem é o UAT-9244

A Cisco Talos descreve o UAT-9244 como um conjunto de operações distinto, embora com fortes intersecções de ferramentas e táticas usadas por coletivos já conhecidos, como Famous Sparrow e Tropic Trooper. A atribuição ao contexto chinês foi feita com “alta confiança”, apoiada em evidências técnicas — semelhanças em código, infraestrutura de comando e controle e métodos de distribuição. Pesquisadores também encontraram strings de debug em Chinês Simplificado nos binários, um indício direto sobre a origem dos desenvolvedores.

Por que as telecomunicações

As operadoras de telecom são tratadas como alvo estratégico porque controlam a infraestrutura central de comunicações de um país. Acesso a esses sistemas pode permitir interceptação de chamadas, tráfego de dados corporativos, comunicações governamentais e informações de sistemas de segurança pública. A concentração de ataques na região sul-americana diferencia o UAT-9244 de outros grupos chineses e, segundo a Cisco Talos, sugere um interesse geopolítico em vez de motivação financeira, pois não há evidência de uso de ransomware para extorsão.

As três ferramentas usadas

A investigação detectou três famílias de malware inéditas, cada uma com função específica na operação.

O TernDoor atua em máquinas Windows por meio de DLL side-loading: substitui uma biblioteca legítima por outra alterada, fazendo com que um processo confiável carregue o código malicioso. Com isso, o TernDoor recolhe informações do sistema, executa comandos remotos, manipula arquivos e pode ser removido via parâmetro remoto. Para persistência, altera o registro e cria tarefas agendadas ocultas.

O PeerTime é voltado a servidores Linux e dispositivos de rede embarcados (roteadores, switches). Sua comunicação usa o protocolo BitTorrent, camuflando o tráfego malicioso entre o tráfego legítimo. Está compilado para várias arquiteturas — ARM, AARCH, PPC e MIPS — permitindo infecção em uma ampla gama de equipamentos de borda que raramente recebem atualizações.

Imagem: Divulgação

O BruteEntry tem a função de expandir a campanha transformando máquinas comprometidas em Operational Relay Boxes (ORBs). Esses dispositivos passam a escanear e atacar novos alvos, realizando ataques de força bruta contra serviços como SSH, Postgres e Tomcat. Como os ataques subsequentes partem dos IPs das vítimas originais, rastrear a origem torna-se mais difícil.





Recomendações de defesa

A Cisco Talos orienta checar em sistemas Windows a presença de arquivos WSPrint.exe e BugSplatRc64.dll e inspecionar tarefas agendadas suspeitas; em ambientes Linux, monitorar processos relacionados ao PeerTime e ao BruteEntry e observar tráfego BitTorrent anômalo em dispositivos de borda. Entre as medidas estruturais recomendadas estão bloquear tráfego BitTorrent em equipamentos de rede, ativar autenticação multifator em serviços administrativos (especialmente SSH), restringir acesso remoto a interfaces de gestão, adotar soluções EDR e manter firmware de roteadores e switches atualizado.

Com informações de Tecmundo