Hackers russos exploram Google OAuth e vinculação do WhatsApp para sequestrar contas

Três grupos de ciberespionagem suspeitos de ligação com a Rússia estão utilizando recursos legítimos de autenticação do Google, Microsoft e WhatsApp em campanhas de phishing direcionadas a acadêmicos, diplomatas, profissionais dos setores aeroespacial e de defesa, governos e integrantes de think tanks nos Estados Unidos e na Europa.

As operações foram associadas pelo Google Threat Intelligence Group (GTIG) aos clusters UNC6293, UNC7005 e UNC5976. Em vez de depender exclusivamente de páginas falsas para roubar senhas, os hackers manipulam processos legítimos como OAuth, senhas de aplicativos, códigos de dispositivos e vinculação do WhatsApp para obter acesso às contas das vítimas.

Segundo os pesquisadores Gabby Roncone e Wesley Shields, os três grupos conduzem campanhas persistentes e adaptáveis, empregando engenharia social para comprometer contas pessoais em diferentes plataformas.

UNC6293 explora autenticação legítima do Google

O UNC6293 foi detalhado inicialmente pelo Google e pelo Citizen Lab em junho de 2025 e é considerado um subgrupo do Ice Relic, anteriormente conhecido como APT29 e também rastreado pelos nomes Cozy Bear e Midnight Blizzard.

O grupo já havia sido associado a ataques que exploravam as chamadas senhas de aplicativos do Google para assumir contas das vítimas.

Desde então, continuou realizando campanhas de phishing altamente direcionadas, geralmente contra menos de cinco usuários por vez. Os hackers chegaram a se passar por funcionários do Departamento de Estado dos Estados Unidos, utilizando temas diplomáticos, conferências e reuniões como isca.

Em junho de 2026, o Google observou uma mudança na estratégia. O UNC6293 passou a utilizar phishing envolvendo OAuth, solicitando que as vítimas realizassem um login legítimo em um provedor externo e posteriormente compartilhassem a URL completa ou o código de verificação gerado durante o processo.

Com o código em mãos, os hackers podiam obter acesso à conta da vítima.

UNC5976 cria páginas falsas para roubar tokens OAuth

O segundo grupo, UNC5976, está ativo pelo menos desde março de 2026 e também utiliza phishing baseado em OAuth, além de infraestrutura em nuvem para automatizar a coleta de tokens de autenticação.

Para conduzir os ataques, o grupo registrava domínios geralmente relacionados a serviços de compartilhamento de arquivos e criava projetos de nuvem associados a esses endereços.

Os sites apresentavam páginas falsas de compartilhamento de arquivos. Após alguns segundos, a vítima visualizava uma janela com o botão “Continue with Google”.

Ao clicar, o usuário era direcionado para a página legítima de autenticação OAuth do Google. Após realizar o login, entretanto, acabava direcionado para um projeto malicioso na nuvem contendo scripts desenvolvidos para capturar o token de autenticação presente na URL.

O Google estima que o UNC5976 tenha criado pelo menos 12 novos domínios e infraestruturas relacionadas desde março. Esses recursos foram posteriormente desativados, levando o grupo a migrar parte de suas páginas de phishing para outros provedores.

O UNC5976 também utilizou um plugin malicioso para Excel chamado HEADRUSH, empregado para entregar um arquivo HTA. O malware foi identificado em abril de 2026 e distribuído através de um domínio falso que imitava um instituto de pesquisa ucraniano.

Há indícios de que a campanha possa ter sido utilizada contra uma empresa ucraniana dos setores aeroespacial e de imagens, embora o alcance completo da operação ainda seja desconhecido.

Segundo o Google, o UNC5976 concentra suas atividades principalmente nos setores militar, aeroespacial, base industrial de defesa, organizações não governamentais e think tanks, com grande parte dos alvos localizada na Ucrânia e na Armênia.

UNC7005 usa Google, Microsoft e WhatsApp

O UNC7005, também rastreado como Storm-2945, tornou-se o principal foco da investigação do GTIG. Identificado em fevereiro de 2026, o grupo tem como principais alvos profissionais acadêmicos, diplomáticos e integrantes de organizações sem fins lucrativos na Ucrânia, Europa Ocidental e Estados Unidos.

O Google acredita que UNC7005 e UNC6293 estejam relacionados a uma estrutura dentro do Ice Relic especializada em operações de acesso inicial.

Além de campanhas envolvendo senhas de aplicativos, o UNC7005 utiliza phishing baseado em códigos de dispositivos para comprometer contas da Microsoft e do WhatsApp.

No caso da Microsoft, os hackers enviavam convites falsos para conferências e eventos diplomáticos. Os links direcionavam para sites controlados pelo grupo, que coletavam informações sobre o visitante e solicitavam a confirmação da participação no evento, incluindo preferências de prato principal e vinho.

Iscas relacionadas a vinho não são novas nas operações atribuídas ao Ice Relic. Campanhas com características semelhantes são observadas desde abril de 2023.

WhatsApp é vinculado ao dispositivo dos hackers

Entre maio e junho de 2026, o UNC7005 também realizou operações de engenharia social imitando recursos do WhatsApp.

As páginas de phishing tentavam convencer as vítimas de que era necessário vincular suas contas a outro dispositivo para participar de uma chamada segura, acessar um chat criptografado ou visualizar um documento.

Primeiro, a vítima informava seu número de telefone. Os hackers utilizavam esse número para iniciar uma solicitação legítima de vinculação do WhatsApp em um dispositivo sob seu controle.

A página então apresentava à vítima o QR Code e o código legítimos de vinculação, acompanhados de instruções para concluir o processo.

Caso o usuário seguisse as instruções, sua conta do WhatsApp passava a ficar vinculada também ao dispositivo controlado pelos hackers.

Depois disso, a página apresentava novas opções, como participar de uma chamada de voz, entrar em um chat criptografado ou baixar um arquivo.

Segundo o Google, caso a vítima selecionasse a chamada, códigos JavaScript eram executados para gravar áudio e vídeo e transmitir o material para um servidor de comando e controle.

Na opção de chat criptografado, a vítima era orientada a copiar credenciais apresentadas na página e utilizá-las em uma segunda URL. A natureza exata do arquivo oferecido para download não foi determinada.

Grupo também utiliza infostealers contra Windows e macOS

Por volta de maio de 2026, o UNC7005 ampliou suas operações utilizando malwares conhecidos para roubo de informações, como Vidar e Atomic, também chamado de AMOS.

Os ataques atingiram sistemas Windows e macOS e tiveram como alvos acadêmicos, diplomatas e pesquisadores dos Estados Unidos especializados em Rússia e antigos países soviéticos.

As vítimas recebiam mensagens contendo links para uma página falsa de uma conferência relacionada a uma “resolução em apoio à Ucrânia”. O site orientava o usuário a baixar um suposto aplicativo complementar do evento para consultar o documento completo.

No início de agosto, o grupo também começou a realizar ataques de phishing OAuth contra contas Google utilizando infraestrutura em nuvem.

A partir de 31 de julho, o UNC7005 registrou domínios que imitavam o Finnish Operations Center (FOC), organização que apoia empresas finlandesas nos mercados de defesa e segurança, particularmente em atividades relacionadas à OTAN.

Entre 6 e 13 de agosto, e-mails direcionados foram enviados para pessoas ligadas à indústria de defesa europeia.

Ao acessar os domínios maliciosos, as vítimas eram encaminhadas para uma página legítima de login OAuth do Google. Após a autenticação, porém, eram redirecionadas para um projeto em nuvem não verificado e controlado pelos hackers, permitindo o roubo dos tokens e o sequestro das contas.

Campanha CaptiveCrunch compromete redes Wi-Fi

As atividades também apresentam conexões com a campanha CaptiveCrunch, documentada pela ReliaQuest e pela Microsoft.

Essa operação tem como alvo portais cativos de redes Wi-Fi em locais como hotéis, centros de conferências e aeroportos nos Estados Unidos e em outros países.

Os hackers obtêm acesso administrativo aos gateways Wi-Fi e modificam suas configuraurações. Técnicas de DNS poisoning são então utilizadas para redirecionar o tráfego legítimo para infraestrutura controlada pelo grupo.

Segundo a Microsoft, esse tipo de manipulação de tráfego ocorre pelo menos desde o início de maio de 2026.

Parte da operação utiliza domínios que imitam serviços online da Microsoft para realizar ataques adversary-in-the-middle (AitM) e abusar do fluxo de autenticação por código de dispositivo do Microsoft Entra ID.

A posição privilegiada na rede também permite distribuir malware disfarçado de atualizações de navegador ou sistema operacional.

CornFlake RAT e ChocoShell são distribuídos nos ataques

Os redirecionamentos podem levar à instalação do CornFlake RAT, um trojan de acesso remoto desenvolvido em Go, ou do ChocoShell, um payload PowerShell distribuído através da técnica de engenharia social ClickFix.

O CornFlake RAT possui recursos para enumerar sistemas, coletar arquivos e teclas digitadas, roubar credenciais e tokens de sessão, realizar vigilância por áudio e vídeo, monitorar mídias removíveis e abrir um shell remoto nos computadores infectados.

Já o ChocoShell é um infostealer baseado em PowerShell capaz de roubar cookies de sessão de navegadores, senhas armazenadas, tokens de Single Sign-On do Microsoft 365 e credenciais de redes Wi-Fi.

A análise indica que o código do ChocoShell provavelmente foi gerado com auxílio de um modelo de linguagem de grande porte (LLM).

Toda a operação é administrada através de um painel centralizado de comando e controle chamado FruitStone.

A ferramenta utiliza a marca “CloudSync Console” e se apresenta como associada à “Acuity Systems, Inc.”, aparentemente para parecer um software legítimo de gerenciamento em nuvem.

Segundo a Microsoft, o FruitStone permite gerenciar dispositivos comprometidos, criar e distribuir novos payloads e consultar dados roubados, incluindo capturas de tela, teclas digitadas e credenciais de navegadores.

Possível ataque à cadeia de suprimentos

Uma investigação paralela da Lumen Black Lotus Labs levantou a possibilidade de que os responsáveis pela CaptiveCrunch tenham comprometido vários Managed Service Providers (MSPs) e posteriormente utilizado a relação de confiança dessas empresas com seus clientes para alcançar redes Wi-Fi administradas por elas.

Segundo a Lumen, o acesso aos MSPs pode ter permitido que os hackers chegassem aos gateways Wi-Fi de hotéis e outros estabelecimentos e configurassem o sequestro de DNS para selecionar quais usuários seriam redirecionados para a infraestrutura de phishing.

Os dados de telemetria da empresa identificaram aproximadamente 70 endereços IP de vítimas. Desses, 40 enviaram consultas DNS para servidores de comando e controle associados à CaptiveCrunch.

Outros 30 endereços IP se comunicaram com a infraestrutura AitM utilizada para capturar tokens de autenticação, enquanto um único IP foi observado interagindo com o servidor C2 do ChocoShell.

Segundo o GTIG, as diferentes campanhas mostram que os grupos russos estão explorando vários mecanismos legítimos de autenticação, desde senhas de aplicativos e OAuth até códigos de dispositivos e vinculação de contas.

A utilização de processos reais de autenticação dificulta a distinção entre acessos legítimos e maliciosos. Além de permitir o roubo rápido de informações, contas já comprometidas podem ser utilizadas posteriormente para realizar novas campanhas de phishing contra outros alvos de interesse.