Digital Inside
Um grupo ligado ao governo chinês tem sido associado a uma campanha de ciberespionagem contra diplomatas da Hungria, Bélgica, Sérvia, Itália e Países Baixos. A operação terá decorrido entre setembro e outubro de 2025, segundo a empresa de cibersegurança Arctic Wolf, que identificou e analisou os ataques.
A campanha utilizou e-mails de spear phishing com temas diplomáticos para induzir os alvos a abrir ficheiros maliciosos de atalho (.LNK) do Windows, explorando uma vulnerabilidade no processamento da interface gráfica do sistema operativo. Esta falha, que permite a execução de comandos escondidos no espaço em branco dos atalhos, é conhecida desde 2017 e foi recentemente catalogada com a referência CVE-2025-9491.
O grupo responsável, identificado como UNC6384 pela Google Threat Intelligence Group, apresenta características semelhantes às do grupo “Mustang Panda”, um coletivo conhecido de ciberespionagem que opera desde 2012. A nova designação UNC (de “uncategorized”) indica apenas que a estrutura ainda está a ser formalmente categorizada, mas não é necessariamente nova.
A vulnerabilidade explorada nestes ataques permite a execução silenciosa de comandos maliciosos no sistema da vítima, enquanto esta visualiza um documento PDF aparentemente legítimo — neste caso, a agenda de uma reunião da Comissão Europeia em Bruxelas. O ataque culmina na instalação do PlugX, um trojan de acesso remoto utilizado para criar portas de entrada nos sistemas Windows, ativo desde pelo menos 2008.
Apesar da existência de um registo formal da vulnerabilidade, a Microsoft não lançou ainda qualquer patch de segurança. A falha foi oficialmente comunicada pela Trend Micro em setembro de 2024, mas segundo a empresa, a mesma já havia sido detetada internamente em 2017 pela sua iniciativa Zero Day (ZDI), sob o código ZDI-CAN-25373.
A ausência de correção poderá estar relacionada com o impacto que uma atualização teria em aplicações antigas que dependem da forma como os atalhos funcionam atualmente. A Microsoft, segundo a Trend Micro, recusou desenvolver um patch mesmo após a submissão de um exploit de demonstração.
Esta vulnerabilidade já foi explorada por grupos apoiados por Estados da Coreia do Norte, Irão, Rússia e China, e tem sido reutilizada em múltiplas campanhas recentes. Em 2025, foi utilizada em ataques russos contra a Ucrânia, operações chinesas com o trojan Remcos, e campanhas contra empresas nos Emirados Árabes Unidos. Em junho, foi também usada em ataques que abusaram do serviço Cloudflare Tunnel para esconder payloads.
Falha difícil de mitigar, mas não impossível
Perante a inexistência de um patch, os especialistas da Arctic Wolf recomendam o bloqueio ou desativação da execução de ficheiros .LNK no Windows Explorer, particularmente em sistemas utilizados por funcionários com acesso a informação sensível. É também recomendada a monitorização de domínios de comando e controlo utilizados pelos atacantes, embora estes tendam a mudar frequentemente.
Outro indício da presença da campanha nos sistemas é a instalação de utilitários de impressoras Canon, como o ficheiro cnmpaui.exe, que fazem parte da cadeia de ataque.
O ritmo acelerado com que UNC6384 passou a explorar a vulnerabilidade após a sua divulgação em 2025 demonstra capacidades técnicas avançadas e acesso a recursos significativos. Para os investigadores, o facto de múltiplos países europeus terem sido visados num curto espaço de tempo pode indicar uma operação de recolha de informação altamente coordenada, ou então a existência de várias equipas operacionais a agir em paralelo com ferramentas partilhadas, mas alvos distintos.
A utilização deste tipo de falhas, baseadas em funcionalidades legítimas do sistema operativo, representa um desafio técnico significativo para os fabricantes de software. Embora não sejam novas nem particularmente sofisticadas, continuam a ser eficazes, sobretudo quando exploradas em campanhas bem preparadas e com objetivos estratégicos definidos.
