Um grupo de espionagem cibernética apoiado pelo governo de um país asiático comprometeu recursos digitais do Ministério de Minas e Energia do Brasil, afirma o relatório “The Shadow Campaigns: Uncovering Global Espionage”, publicado ontem pela Unit 42, a unidade de inteligência da empresa Palo Alto Networks. Segundo o documento, o ataque ocorre em um cenário onde o Brasil possui a segunda maior reserva mundial de minerais de terras raras e registrou a triplicação das exportações desses recursos no primeiro semestre de 2025. De acordo com Tim Kundahl, Diretor de Inteligência de Ameaças da Unit 42, o interesse dos invasores coincide com o aumento do controle global de empresas asiáticas sobre esses minerais e com os novos investimentos dos Estados Unidos no setor brasileiro. Segundo informações públicas, as exportações desses minerais triplicaram no primeiro semestre de 2025. À medida que as empresas asiáticas reforçam seu controle global sobre esses recursos, os EUA começaram a buscar no Brasil fontes alternativas.
Em outubro, o encarregado de negócios dos EUA no Brasil fez reuniões com executivos do setor de mineração no país. No início de novembro, a Corporação Financeira de Desenvolvimento Internacional dos EUA investiu US$ 465 milhões na Serra Verde, produtora brasileira de terras raras. Essa iniciativa foi vista como um esforço para reduzir a dependência americana da Ásia na obtenção desses minerais.
Espionagem atinge infraestruturas nos Estados Unidos
A campanha também comprometeu infraestruturas críticas nos Estados Unidos, país que lidera a lista de potências econômicas afetadas pela operação, conforme relata a Cybersecurity Dive. Segundo o documento da Unit 42, o grupo utilizou vulnerabilidades de dia zero para infiltrar redes americanas de energia e comunicações. Conforme disse o diretor de inteligência de ameaças, o acesso persistente nestes sistemas foi mantido por mais de 18 meses para a exfiltração de documentos confidenciais. De acordo com Kundahl, os atacantes mascararam o tráfego utilizando serviços de nuvem legítimos para evitar a detecção pelos sistemas de defesa dos EUA.
O relatório informa que essas atividades de espionagem foram feitas por um novo grupo de ciberespionagem que a Unidade 42 monitora como TGR-STA-1030: “Denominamos a atividade do grupo de Campanhas Sombra. Avaliamos com alto grau de confiança que o TGR-STA-1030 é um grupo alinhado a um Estado que opera a partir da Ásia. Ao longo do último ano, este grupo comprometeu organizações governamentais e de infraestrutura crítica em 37 países. Isso significa que aproximadamente um em cada cinco países sofreu uma violação crítica por parte deste grupo no último ano. Além disso, entre novembro e dezembro de 2025, observamos o grupo realizando reconhecimento ativo contra infraestruturas governamentais associadas a 155 países”.
O grupo, diz o estudo, tem como alvo principal ministérios e departamentos governamentais. Por exemplo, o grupo conseguiu comprometer:
- Cinco entidades nacionais de aplicação da lei/controle de fronteiras
- Três ministérios das finanças e vários outros ministérios do governo.
- Departamentos em todo o mundo que se alinham com funções econômicas, comerciais, de recursos naturais e diplomáticas.
Embora não tenha feito atribuição de país ou governo ao grupo descoberto, o relatório afirma: “Avaliamos com alto grau de confiança que o TGR-STA-1030 é um grupo alinhado a um Estado que opera a partir da Ásia. Baseamos essa avaliação nas seguintes constatações:
- Uso frequente de ferramentas e serviços regionais
- Preferências de configuração de idioma
- O direcionamento e o momento das ações são rotineiramente alinhados com eventos e informações de interesse para a região.
- Conexões a montante com infraestrutura operacional originárias da região
- A atividade dos atores alinha-se rotineiramente com o GMT+8.
- Além disso, descobrimos que um dos atacantes usa o pseudônimo “JackMa”, que pode se referir ao empresário bilionário e filantropo que cofundou o Alibaba Group e a Yunfeng Capital.
