O evento envolve hackers que acompanharam por cerca de cinco meses a caixa de e-mail Outlook de um executivo sênior de uma grande bolsa de valores global, em uma operação classificada como espionagem cibernética provável. A intrusão afetou uma conta de alto valor dentro da instituição.
As investigações ficaram a cargo das equipes de Threat Hunting da Symantec e da Carbon Black, que monitoraram a atividade maliciosa desde o seu início. O primeiro sinal ocorreu em 10 de outubro de 2025, quando os invasores executavam dois binários com privilégios SYSTEM, simulando atualizadores da Adobe e do OneDrive.
O ataque ganhou complexidade em 12 de novembro, com o uso de um token de API do Dropbox, envio de dados via curl e implantação de uma ferramenta para copiar caixas de correio do Outlook. A primeira coleta abrangeu mensagens desde agosto de 2025, seguidas de novas exfiltrações a cada duas a quatro semanas, sempre com intervalos recentes para reduzir suspeitas. As operações de exfiltração recorreram a Dropbox e ao OneDrive Personal.
Segundo as análises, não houve exploração de uma nova CVE. A intrusão prolongada atingiu uma conta de alto valor, cuja caixa de e-mail pode guardar negociações, calendários, contatos, dados de listagem e informações capazes de influenciar mercados.
Entre na conversa da comunidade