MarsSnake Backdoor: Uma ferramenta cibernética furtiva na espionagem global

Outra ameaça digital surge

Quando se trata de espionagem cibernética global, um backdoor recém-identificado, conhecido como MarsSnake , está chamando a atenção de analistas de segurança. O MarsSnake foi associado a um grupo de ameaças elusivo, denominado UnsolicitedBooker , que se acredita operar com vínculos com a China. Esse backdoor surgiu durante uma série de ataques cibernéticos direcionados a uma organização internacional sediada na Arábia Saudita.

O UnsolicitedBooker, embora relativamente discreto, teria usado campanhas de phishing altamente direcionadas para obter acesso inicial. Esses e-mails são elaborados para parecer legítimos — muitas vezes usando reservas de voos como isca — e foram enviados a organizações em toda a Ásia, África e Oriente Médio. A natureza contínua desses ataques, com incidentes documentados em 2023, 2024 e novamente no início de 2025, sugere um interesse persistente em alvos geopolíticos específicos.

A anatomia do ataque

O método de infiltração utilizado na campanha MarsSnake reflete uma operação bem planejada. Os invasores enviaram e-mails disfarçados de comunicações da Saudia Airlines, acompanhados de um anexo do Microsoft Word contendo o que parecia ser um itinerário de voo. Embora aparentemente inofensivo, o documento foi transformado em uma arma com uma macro que, uma vez ativada, implantava um arquivo executável chamado smssdrvhost.exe no computador da vítima.

Este arquivo funciona como um carregador, instalando o backdoor do MarsSnake. Uma vez ativo, o MarsSnake estabelece contato com um servidor externo de comando e controle (C&C), permitindo que os invasores interajam com o sistema comprometido. O nível de acesso fornecido pelo MarsSnake inclui a execução de comandos, a manipulação de arquivos e a potencial instalação de mais malware — tudo controlado remotamente pela infraestrutura do invasor.

O que é MarsSnake e por que isso importa?

O MarsSnake se destaca não apenas como um backdoor, mas também como uma ferramenta altamente capaz e flexível em espionagem cibernética. A capacidade de realizar uma ampla gama de operações o torna um recurso poderoso para qualquer grupo de ameaças persistentes avançadas (APT). O MarsSnake é atualmente exclusivo da UnsolicitedBooker, o que indica um grau de especialização em seu desenvolvimento e implantação.

Essa exclusividade também levanta questões sobre os objetivos estratégicos por trás de seu uso. Especialistas em segurança cibernética acreditam que o MarsSnake não é uma ferramenta para ataques em massa, mas sim uma ferramenta projetada para direcionamento preciso, visando infiltrar instituições específicas de alto valor. Os ataques repetidos a uma única organização na Arábia Saudita sugerem que o objetivo é a coleta de informações de longo prazo, em vez de ganho financeiro rápido ou interrupção de operações.

Conexões com outros agentes de ameaças

Embora o UnsolicitedBooker seja um nome relativamente novo no ecossistema APT, suas táticas e ferramentas se assemelham às de outros grupos ligados à China. O uso de backdoors conhecidos como Chinoxy, DeedRAT , Poison Ivy e BeRAT alinha-se com comportamentos observados em operações atribuídas a grupos de ameaças como Space Pirates e APT15 .

Além disso, campanhas semelhantes foram observadas por grupos como o DigitalRecyclers , outra entidade que opera sob o comando do APT15. O DigitalRecyclers tem como alvo órgãos governamentais europeus usando seu próprio conjunto de malware, incluindo um backdoor chamado HydroRShell . Assim como o MarsSnake, o HydroRShell foi projetado para execução remota de comandos e utiliza métodos sofisticados de comunicação com seu servidor de controle, incluindo os Protocol Buffers do Google (Protobuf).

O panorama geral: quais são as implicações?

A descoberta do MarsSnake e suas campanhas relacionadas destaca um ambiente de ameaças cibernéticas em evolução, onde backdoors estão se tornando cada vez mais avançados e adaptados aos seus alvos. Para organizações internacionais, especialmente aquelas em governos, diplomacia ou infraestrutura crítica, a existência de ferramentas como o MarsSnake ressalta a importância de práticas robustas de segurança cibernética.

Esses ataques também refletem tensões geopolíticas mais amplas que se desenvolvem no domínio digital. À medida que as nações competem por vantagens estratégicas, a espionagem cibernética se tornou uma tática popular. Ferramentas como o MarsSnake fazem parte de uma tendência mais ampla em que grupos alinhados a Estados conduzem operações de vigilância prolongadas para coletar informações confidenciais.

Seguindo em frente

Embora o MarsSnake possa não afetar o usuário médio, sua presença sinaliza uma necessidade crescente de cooperação internacional em segurança cibernética. As organizações devem estar vigilantes contra campanhas de spear-phishing e investir em ferramentas de detecção de ameaças capazes de identificar intrusões sutis e de longo prazo.

Para pesquisadores e defensores, rastrear famílias de malware como o MarsSnake fornece insights valiosos sobre as capacidades e intenções dos agentes de ameaças. A análise e o compartilhamento contínuos de informações sobre ameaças são essenciais para se manter à frente dessas campanhas sofisticadas.

O MarsSnake pode ser apenas uma peça de um quebra-cabeça cibernético maior, mas seu surgimento é um lembrete claro de que a batalha pelo domínio digital está muito viva — e em constante evolução.