A Equipe de Resposta a Emergências de Computadores da Ucrânia (CERT-UA) emitiu um alerta urgente sobre uma nova campanha de ciberataques direcionados, detectada em setembro de 2025. O ataque utiliza o sofisticado backdoor CABINETRAT, disseminado através do aplicativo de mensagens Signal.
A ofensiva foi atribuída ao cluster de ameaças UAC-0245, conhecido por ataques avançados contra infraestrutura crítica. Segundo a CERT-UA, os criminosos estão distribuindo arquivos maliciosos no formato XLL, complementos legítimos do Microsoft Excel, escondidos em arquivos ZIP disfarçados de documentos oficiais sobre detenções de indivíduos na fronteira ucraniana.
Como funciona a infecção
Ao abrir o arquivo XLL, a vítima inicia um processo de infecção complexo:
-
Criação de múltiplos executáveis, incluindo um arquivo EXE na pasta de Inicialização.
-
Instalação do suplemento “BasicExcelMath.xll” em **%APPDATA%\Microsoft\Excel\XLSTART**.
-
Armazenamento de uma imagem “Office.png”, usada para ocultar o shellcode do CABINETRAT via esteganografia.
O malware modifica o Registro do Windows para garantir persistência e executa o Excel em modo oculto, carregando o backdoor.
Recursos avançados e evasão de segurança
Escrito em C, o CABINETRAT possui múltiplas funcionalidades: coleta de informações do sistema, captura de tela, execução remota de comandos, exclusão de arquivos, além de upload e download de dados. Sua comunicação ocorre via TCP com servidores de comando e controle.
O backdoor também incorpora técnicas de anti-VM e anti-análise, verificando softwares como VMware, VirtualBox, Xen, QEMU, Parallels e Hyper-V, além de exigir no mínimo dois núcleos de CPU e 3 GB de RAM para execução, dificultando a análise por pesquisadores e ferramentas de segurança.
Intensificação das ameaças cibernéticas na Ucrânia
O alerta surge poucos dias após o Fortinet FortiGuard Labs identificar outra campanha de phishing contra a Ucrânia, que se passava pela Polícia Nacional. Nesse ataque, os cibercriminosos usaram o stealer Amatera e o minerador PureMiner para roubo de credenciais e mineração de criptomoedas.
Segundo especialistas, a diversidade e sofisticação das campanhas reforçam a pressão crescente do cenário de ameaças digitais contra a Ucrânia em meio ao conflito.
