Uma vulnerabilidade crítica do Windows que permanece sem patch oficial está sendo explorada ativamente por um grupo de hacking vinculado à China para espionar diplomatas europeus na Hungria, Bélgica e outras nações europeias.
A campanha, atribuída ao grupo de ameaça apoiado pelo estado chinês UNC6384 (também conhecido como Mustang Panda), utiliza arquivos LNK maliciosos disfarçados como documentos relacionados a workshops de defesa da OTAN, reuniões de facilitação de fronteiras da Comissão Europeia e vários outros eventos diplomáticos. A cadeia de ataque resulta na implantação do trojan de acesso remoto PlugX e estabelece persistência em sistemas comprometidos, permitindo monitoramento de comunicações diplomáticas e roubo de dados sensíveis.
A Arctic Wolf Labs, em análise conjunta com a StrikeReady, identificou que essa campanha expandiu significativamente seu escopo nas últimas semanas. Enquanto inicialmente focava em entidades diplomáticas da Hungria e Bélgica, os ataques agora também direcionam outras organizações europeias, incluindo agências governamentais da Sérvia e entidades diplomáticas da Itália e Holanda.
Essa expansão geográfica sugere uma operação de espionagem cibernética de longo alcance coordenada, não uma série de ataques isolados ou oportunistas. A atribuição ao UNC6384 baseia-se em múltiplas linhas de evidência convergente, incluindo ferramentas de malware, procedimentos táticos, alinhamento de alvos e sobreposições de infraestrutura com operações previamente documentadas do grupo.
A vulnerabilidade explorada, rastreada como CVE-2025-9491, permite que atacantes executem código arbitrário remotamente em sistemas Windows direcionados. No entanto, a exploração requer interação do usuário, envolvendo enganar vítimas potenciais para visitar uma página maliciosa ou abrir um arquivo malicioso.
A falha existe no tratamento de arquivos .LNK, permitindo que atacantes explorem como o Windows exibe arquivos de atalho para evadir detecção e executar código em dispositivos vulneráveis sem conhecimento do usuário. Os atores de ameaça exploram essa falha ocultando argumentos de linha de comando maliciosos dentro de arquivos de atalho .LNK para a estrutura COMMAND_LINE_ARGUMENTS usando espaços em branco preenchidos, uma técnica sofisticada que mascarava a natureza maliciosa dos arquivos.
A Exploração Generalizada de Uma Vulnerabilidade Não Corrigida
O CVE-2025-9491 não é uma vulnerabilidade desconhecida ou recentemente descoberta. Em março de 2025, analistas de ameaças da Trend Micro descobriram que a falha já estava sendo amplamente explorada por onze grupos patrocinados por estados e gangues de cibercrime, incluindo Evil Corp, APT43 (também conhecido como Kimsuky), Bitter, APT37, Mustang Panda, SideWinder, RedHotel, Konni e outros.
Essa diversidade de atores maliciosos explorando a mesma vulnerabilidade indica que a falha representa um vetor de ataque particularmente valioso, provavelmente devido à sua facilidade de exploração e eficácia em evadir detecção de segurança tradicional.
A Trend Micro documentou que “diversos payloads de malware e loaders como Ursnif, Gh0st RAT e Trickbot foram rastreados nessas campanhas, com plataformas de malware-como-serviço (MaaS) complicando a paisagem de ameaças”.
A disponibilidade comercial de ferramentas de malware através de modelos de serviço significa que grupos com recursos limitados podem aproveitar vulnerabilidades de nível estadual, democratizando efetivamente capacidades de espionagem cibernética que anteriormente exigiam desenvolvimento técnico interno significativo. Essa commoditização de ferramentas maliciosas complica a atribuição e resposta, pois múltiplos grupos podem estar usando infraestrutura e código compartilhados.
Apesar da exploração generalizada documentada desde março de 2025, a Microsoft ainda não lançou atualizações de segurança para corrigir essa vulnerabilidade altamente explorada do Windows. Quando questionada pela BleepingComputer em março, a Microsoft disse que “consideraria abordar” essa falha de zero-day, mesmo que ela “não atendesse ao critério para atendimento imediato”.
Essa resposta sugere que a empresa não considerava a vulnerabilidade crítica o suficiente para justificar uma atualização de emergência fora do ciclo regular de patches, uma decisão que agora parece questionável dado o uso contínuo e generalizado da falha por múltiplos grupos de ameaças.
UNC6384 e Alvos Estratégicos: A Guerra Cibernética por Informações Diplomáticas
O grupo UNC6384 (Mustang Panda) é conhecido por conduzir operações de espionagem alinhadas com interesses estratégicos chineses e direcionar entidades diplomáticas em todo o sudeste da Ásia. Sua expansão para alvos europeus representa uma evolução significativa em táticas e escopo geográfico. O foco em organizações diplomáticas sugere que o objetivo primário é coletar inteligência sobre política externa, negociações internacionais, posições diplomáticas e estratégias de segurança coletiva, especialmente aquelas relacionadas à OTAN e à União Europeia.
A escolha de temas de spearphishing — workshops de defesa da OTAN, reuniões da Comissão Europeia, eventos diplomáticos diversos — demonstra uma compreensão sofisticada do ambiente operacional das vítimas-alvo.
Esses temas são específicos para funcionários diplomáticos e de defesa, aumentando significativamente a probabilidade de que as vítimas abram os anexos maliciosos. A sofisticação dessa campanha de engenharia social indica que os atacantes investiram tempo considerável em pesquisa de alvos, compreendendo as responsabilidades e interesses profissionais de suas vítimas potenciais para criar iscas convincentes.
O uso do trojan PlugX RAT é consistente com táticas previamente documentadas do UNC6384. O PlugX é um malware de acesso remoto altamente funcional que permite controle completo sobre sistemas comprometidos, incluindo capacidade de exfiltrar dados, monitorar comunicações, capturar screenshots, gravar teclas digitadas e estabelecer túneis de comunicação persistentes com servidores de comando e controle. Sua natureza modular permite que atacantes adaptem funcionalidades específicas às necessidades de cada operação, tornando-o uma ferramenta versátil para espionagem de longo prazo.
Implicações de Segurança: A Falta de Patch e Mitigações Alternativas
Como não existe patch oficial do CVE-2025-9491 para bloquear ataques em andamento, defensores de rede são aconselhados a implementar medidas de mitigação alternativas. A Arctic Wolf Labs recomenda restringir ou bloquear o uso de arquivos Windows .LNK em ambientes corporativos, especialmente quando recebidos de fontes externas. Além disso, organizações devem bloquear conexões de infraestrutura de comando e controle identificada pela Arctic Wolf Labs, embora essa abordagem seja reativa e possa não capturar toda a infraestrutura utilizada pelos atacantes.
| Elemento da Campanha | Detalhes Técnicos | Impacto Operacional |
|---|---|---|
| Vetor de Ataque | Spearphishing com arquivos LNK maliciosos temáticos | Alta taxa de sucesso devido a temas específicos e credíveis para alvos diplomáticos |
| Vulnerabilidade Explorada | CVE-2025-9491 (zero-day não corrigido) | Permite execução remota de código sem conhecimento do usuário |
| Malware Implantado | PlugX RAT para persistência e espionagem | Controle completo de sistemas, monitoramento de comunicações, exfiltração de dados |
| Grupo Responsável | UNC6384 (Mustang Panda) – estado chinês | Operação de espionagem cibernética coordenada com objetivos estratégicos |
| Alvos Geográficos | Hungria, Bélgica, Sérvia, Itália, Holanda | Expansão de escopo indica campanha de longo alcance e bem financiada |
| Status do Patch | Nenhum patch disponível desde março 2025 | Organizações vulneráveis sem proteção oficial contra exploração |
A ausência de um patch oficial por mais de sete meses desde que a exploração generalizada foi documentada levanta questões sobre os processos de resposta da Microsoft a vulnerabilidades ativamente exploradas.
Enquanto a empresa pode ter razões técnicas para priorizar outras vulnerabilidades ou pode estar trabalhando em uma correção que requer alterações arquiteturais significativas, a continuação de ataques bem-sucedidos usando essa falha sugere que a avaliação original de risco pode ter sido inadequada.
Organizações que dependem de sistemas Windows para operações críticas, especialmente aquelas envolvidas em diplomacia e segurança nacional, enfrentam uma situação onde devem implementar controles de mitigação que podem impactar funcionalidade de negócios enquanto aguardam uma correção oficial.
A natureza do CVE-2025-9491 — envolvendo manipulação de arquivos .LNK e estruturas de linha de comando — sugere que uma correção adequada pode exigir alterações no sistema de arquivos do Windows ou no tratamento de atalhos que poderiam impactar compatibilidade com aplicações legadas ou workflows de usuários.
Essa complexidade técnica pode explicar o atraso no lançamento de um patch, mas não justifica necessariamente a decisão inicial da Microsoft de não priorizar a vulnerabilidade dado seu uso documentado por múltiplos grupos de ameaças de nível estadual.
