Um servidor exposto na Alibaba Cloud entregou o mapa completo de uma operação com nexo chinês batizada de JadeProx, que está atacando governos, hospitais e universidades na Ásia e na América Latina com um loader de Windows inédito chamado TriBack Loader. A Group-IB identificou 4 cadeias de infecção, 14.653 URLs de educação em Hong Kong varridas via Nuclei, e ataques ativos contra um hospital vietnamita, o Ministério das Relações Exteriores da Malásia e o Congresso Nacional de Honduras.
A Group-IB localizou o servidor em meados de abril de 2026, hospedado na região de Singapura da Alibaba Cloud, e publicou o relatório em 23 de julho de 2026 — quando a infraestrutura já estava offline. O que ficou para trás é raro: histórico de bash, pacotes de spear-phishing, scripts de pós-exploração e caminhos de webshells que permitiram reconstruir a operação com precisão pouco comum em investigações de APT.
A operação, apelidada de JadeProx, mistura espionagem clássica com oportunismo. O grupo comprometeu o sistema de imagens médicas de um hospital público vietnamita a partir de webshells implantados numa interface Java de gerenciamento exposta na internet, mantinha acesso ao Ministério das Relações Exteriores da Malásia, escaneava infraestrutura de educação em Hong Kong e preparava um pacote de spear-phishing endereçado ao Congresso Nacional de Honduras. É a mesma equipe fechando alvos no Sudeste Asiático e na América Central — uma combinação que reforça o padrão de operações chinesas visando informação estratégica onde ela existe, sem se prender a uma região específica.
O TriBack Loader aparece em quatro cadeias de infecção distintas, todas construídas sobre DLL sideloading — a técnica em que um executável legítimo e assinado carrega uma DLL maliciosa que faz o trabalho sujo. As amostras recuperadas seguem sempre o mesmo esqueleto: binário assinado + DLL maliciosa + payload criptografado em arquivo .dat ou .log. A DLL inverte os bytes do payload, aplica XOR com uma chave rotativa e executa o shellcode por meio de chamadas Win32 que os EDRs monitoram menos do que a onipresente CreateThread.
É aqui que o loader se mostra sofisticado. Em vez de repetir a mesma primitiva de execução, o grupo rotaciona três rotinas: InitOnceExecuteOnce, um callback de TimerQueue e — em uma das variantes — EtwpCreateEtwThread, uma função de criação de threads não documentada no ntdll. O binário hospedeiro também muda entre variantes, mas o padrão de sequência de API se repete. Para os pesquisadores da Group-IB, é a assinatura de um builder customizado: cada nova amostra troca alguns componentes para escapar de detecções por hash, mas mantém o esqueleto lógico que faz o loader funcionar.
“O uso de rotinas obscuras como EtwpCreateEtwThread para disparar shellcode é um indicativo de operadores que entendem o que os EDRs olham — e o que eles ignoram.”
Duas variantes entregam o AdaptixC2, um framework open-source de pós-exploração que ganhou tração na comunidade ofensiva ao longo de 2025. Uma terceira, com temática Claude no isca, usa DonutLoader para executar o Beagle, backdoor documentado inicialmente pela Sophos. A quarta variante ficou incompleta: o companheiro criptografado nunca foi recuperado, então o payload final permanece desconhecido.
A Group-IB nomeia quatro CVEs que os operadores tentaram explorar contra hosts específicos, todas com CVSS base 9.8: CVE-2018-11511 no ASUSTOR ADM, CVE-2021-24139 no plugin WordPress 10Web Photo Gallery, CVE-2021-31755 nos roteadores Tenda AC11 e CVE-2021-32305 no WebSVN. A escolha revela oportunismo: são bugs antigos, com PoCs públicos, contra tecnologias que ainda vivem em cantos esquecidos da internet corporativa e acadêmica.
Três leituras importam aqui. A primeira: a Group-IB observou reuso da mesma chave XOR em builds que remontam a fevereiro de 2026, mas se recusa a atribuir a operação a um grupo nomeado. É a postura correta. No ecossistema China-nexus, ferramentas circulam entre unidades — o que faz da assinatura técnica um indicador fraco. Batizar cedo demais gera relatórios que envelhecem mal, como aconteceu com várias atribuições apressadas a APT41 nos últimos anos.
A segunda leitura é sobre a escolha do AdaptixC2. A troca gradual do Cobalt Strike (cada vez mais detectado por sensores comerciais) por frameworks open-source como Havoc, Sliver e agora AdaptixC2 é uma tendência clara em 2026. O custo de entrada caiu, e o backlog de indicadores públicos é menor. Defensores que ainda calibram suas detecções em torno de padrões clássicos de Cobalt Strike vão continuar cegos para essa geração de intrusões.
A terceira: a combinação de espionagem de alto valor (chancelaria da Malásia, Congresso hondurenho) com escaneamento oportunista em massa contra alvos educacionais em Hong Kong sugere um modelo operacional híbrido. A mesma célula produz relatórios estratégicos para clientes e, entre uma operação e outra, roda campanhas de coleta ampla — provavelmente para revenda ou para alimentar bases de acesso inicial. Para o defensor no Brasil, isso significa que uma exposição pequena (um WebSVN esquecido, um plugin desatualizado) pode entrar num inventário de acessos que só será usado meses depois, em uma segunda fase.
Fonte: The Hacker News
Janelia, Cambridge, o MRC LMB e o Google Research publicaram na Cell o sistema nervoso…
A Alibaba liberou sob licença Apache 2.0 um modelo de visão e linguagem voltado a…
A Unit 42 analisou duas campanhas ativas na América Latina em que os operadores usaram…
A falha CVE-2026-85046, uma confusão de tipos no motor V8, já era usada em ataques…
Duas campanhas pré-registradas de pesquisadores britânicos pararam antes da pergunta central: o instrumento de medição…
O primeiro modelo multimodal da família V4 saiu do Hugging Face com 304,6 bilhões de…