Pesquisadores da CYBERBOX Threat Intel identificaram uma infraestrutura de comando e controle (C2) paralela operada pelo APT28 que permaneceu completamente indetectável por aproximadamente 14 meses — de novembro de 2024 a janeiro de 2026. A operação, denominada internamente "Shadow Campaigns", utilizava técnicas avançadas de OPSEC que a tornavam virtualmente invisível para ferramentas tradicionais de monitoramento de rede.
A descoberta foi feita por correlação de padrões de certificação TLS e análise de timing de balizamento (beacon timing analysis) que revelou latências consistentes com roteamento via infraestrutura controlada pelo grupo.
Arquitetura da Infraestrutura
- Camada 1 (Fachada) — Domínios legítimos de empresas comprometidas em 7 países, usados como primeiro ponto de contato
- Camada 2 (Roteamento) — Instâncias cloud (Azure, AWS, GCP) com contas comprometidas via credential stuffing, atuando como proxies
- Camada 3 (C2 Real) — Servidores dedicados em jurisdições sem tratados de assistência jurídica mútua com países ocidentais
"A sofisticação desta infraestrutura supera qualquer coisa que vimos do APT28 anteriormente. O uso de contas cloud comprometidas como camada de proxy torna a atribuição extremamente difícil e a detecção prática quase impossível sem telemetria cross-cloud."
— Equipe CYBERBOX Threat Intel
Técnicas de Evasão Identificadas
- Domain Fronting via CDN — Tráfego de C2 roteado via Cloudflare, Fastly e Akamai, com SNI spoofado para domínios legítimos
- Beacon Timing Adaptativo — Intervalo de balizamento ajustado dinamicamente com base no padrão de tráfego normal do ambiente vítima
- Certificação TLS Personalizada — Certificados com campos que imitam CAs corporativas internas legítimas
- Steganografia em Imagens — Comandos C2 ocultados em imagens PNG hospedadas em sites legítimos comprometidos
Alvos Confirmados
- Ministérios de Relações Exteriores de países da América do Sul
- Empresas de defesa e aeroespacial europeias com presença regional
- Organizações intergovernamentais e think tanks de política internacional
- Mídia e jornalismo investigativo com fontes governamentais
Recomendações de Detecção
- Implementar análise de padrões de tráfego TLS (JA3/JA3S fingerprinting) em firewalls de próxima geração
- Correlacionar logs de autenticação de contas cloud com localizações geográficas esperadas
- Monitorar réplicas de domínios legítimos (typosquatting + look-alike domains)
- Implementar Network Traffic Analysis (NTA) com baseline comportamental por usuário
MITRE ATT&CK — Técnicas Observadas
T1583 Acquire Infrastructure
T1584 Compromise Infrastructure
T1090.004 Domain Fronting
T1102 Web Service C2
T1036.005 Match Legitimate Name or Location
T1078.004 Cloud Accounts