Durante o ano de 2025, uma série de campanhas de ciberespionagem atingiu agências governamentais no Sudeste Asiático. A investigação, conduzida pela Check Point Research (CPR), identificou o grupo Amaranth-Dragon como o responsável. Ligado ao ecossistema APT 41, o grupo foca seus ataques em países como Camboja, Laos, Indonésia, Filipinas, Tailândia e Singapura.
Estratégia e Oportunismo Político
Os ataques não são aleatórios. Os especialistas notaram que as campanhas são cronometradas para coincidir com:
- Eventos políticos sensíveis;
- Decisões governamentais de grande impacto;
- Cúpulas de segurança regional.
Essa tática aumenta a eficácia das investidas, pois os alvos estão mais propensos a interagir com conteúdos que pareçam urgentes ou oficiais.
O Uso da Falha no WinRAR
O grupo utiliza uma vulnerabilidade específica, a CVE-2025-8088, presente no software WinRAR.
Nota técnica: Embora a falha já possua correção, o risco permanece alto porque o WinRAR não atualiza automaticamente, dependendo de uma ação manual do usuário para ser protegido.
Anatomia do Ataque: Furtividade e Ferramentas
O Amaranth-Dragon opera de forma extremamente cirúrgica, visando a persistência nos sistemas para a coleta de inteligência de longo prazo.
- Acesso Inicial: Provavelmente via spear-phishing (e-mails direcionados), utilizando serviços de nuvem como o Dropbox para burlar defesas.
- O Loader: A vítima recebe um arquivo DLL chamado Amaranth Loader, que utiliza a técnica de sideloading (carregamento lateral) para infectar o sistema. Esta ferramenta compartilha semelhanças com malwares conhecidos da APT 41, como o DodgeBox e o DUSTTRAP.
- Execução: O loader busca uma chave de criptografia em um servidor externo para liberar um payload diretamente na memória, utilizando o framework Havoc. Em casos específicos, é instalado o TGAmaranth RAT, um trojan de acesso remoto.
- Infraestrutura Protegida: Os hackers utilizam a Cloudflare para hospedar seu comando e controle (C2), configurando os servidores para aceitar conexões apenas de IPs originários dos países que são alvos daquela operação específica.
A sofisticação e o compartilhamento de ferramentas indicam uma colaboração estreita entre diferentes células de hackers chineses, consolidando o Amaranth-Dragon como uma peça-chave no tabuleiro da ciberespionagem moderna.
