PurpleHaze: grupo chinês ataca mais de 70 organizações globais

Mais de 70 organizações em diversos setores foram alvos de uma sofisticada campanha de espionagem cibernética atribuída a um grupo avançado de ameaças persistentes (APT) ligado ao governo chinês. Segundo relatório da SentinelOne, a operação, em curso entre julho de 2024 e março de 2025, envolveu intrusões meticulosamente coordenadas, com o uso de ferramentas avançadas e exploits inéditos.

Grupo chinês de espionagem cibernética ataca mais de 70 organizações em campanha global

Espionagem direcionada: empresas, governos e mídia na mira

A campanha atribuída ao grupo divulgado porquê PurpleHaze, com sobreposição a grupos APT porquê APT15 e UNC5174, teve porquê vítimas uma ampla gama de alvos. Entre os atingidos estão uma entidade governamental do Sul da Ásia, uma renomada organização de mídia europeia, além de empresas dos setores de manufatura, finanças, telecomunicações, logística e serviços de TI.

De concórdia com os pesquisadores Aleksandar Milenkoski e Tom Hegel, da SentinelOne, os agentes conduziram operações de reconhecimento e exploração a partir de infraestrutura operada na China, visando principalmente servidores expostos à internet. Um dos alvos iniciais foi a própria empresa SentinelOne, cujos servidores foram mapeados em outubro de 2024 porquê preparação para ações mais invasivas.

“As atividades do agente da ameaço se limitaram a mapear e estimar a disponibilidade de determinados servidores voltados para a internet, provavelmente em preparação para possíveis ações futuras”, afirma o relatório.

Técnicas e ferramentas utilizadas pelo PurpleHaze

A ergástulo de ataques envolveu a exploração de vulnerabilidades recém-divulgadas, porquê a CVE-2024-8963 e CVE-2024-8190, antes mesmo de sua publicação solene. O grupo se aproveitou dessas falhas para estabelecer uma posição inicial nos sistemas comprometidos e, posteriormente, compartilhar o aproximação com outros agentes de ameaço.

Entre as ferramentas utilizadas destaca-se o uso do ShadowPad, um backdoor modular sofisticado frequentemente associado a grupos chineses. Em alguns casos, ele foi ofuscado por outro componente chamado ScatterBrain, dificultando a detecção por sistemas de segurança.

Já em ataques subsequentes, principalmente em outubro de 2024 e janeiro de 2025, os agentes empregaram o GoReShell, um shell revirado escrito em Go que utiliza SSH para manter o controle sobre os sistemas infectados. Essa utensílio foi observada tanto em ataques a organizações de mídia quanto em empresas de logística associadas à ergástulo de suprimentos da SentinelOne. Bônus de até R$ 4.500 no cadastro via Pix | Bônus até 100% + 50 giros grátis no Fortune Tiger

Outrossim, os cibercriminosos abusaram, pela primeira vez, de softwares originalmente desenvolvidos pelo grupo de especialistas em segurança The Hacker’s Choice (THC) — um indicativo preocupante de porquê ferramentas legítimas estão sendo deturpadas para fins maliciosos por atores estatais.

Campanha é dividida em seis frentes distintas

A investigação identificou seis clusters distintos de atividade maliciosa, datando desde junho de 2024. Cada um está relacionado a diferentes fases ou alvos da campanha global:

• Atividade A: intrusão em entidade governamental do Sul da Ásia.
• Atividade B: ataques em larga graduação a múltiplas organizações internacionais.
• Atividade C: violação em empresa de logística ligada à SentinelOne.
• Atividade D: novo ataque à mesma entidade governamental.
• Atividade E: mapeamento dos servidores da SentinelOne.
• Atividade F: ataque a organização de mídia europeia.

A SentinelOne agrupa as atividades D, E e F sob o nome PurpleHaze, observando correlações claras entre as táticas, técnicas e infraestrutura utilizada.

Perspectivas e riscos para o horizonte

O relatório reforça o alerta sobre a crescente sofisticação das campanhas de espionagem patrocinadas por Estados, principalmente a China. O uso de exploits zero-day, compartilhamento de aproximação entre diferentes grupos e o aproveitamento de falhas críticas antes de sua divulgação pública demonstram o superior proporção de coordenação e recursos envolvidos.

Para empresas e governos, a prelecção é clara: é urgente substanciar políticas de segurança da informação, atualizar sistemas críticos e adotar abordagens proativas porquê threat hunting e zero trust.

A campanha também expõe a relevância de proteger a ergástulo de suprimentos do dedo, já que empresas terceirizadas — porquê provedores de logística ou serviços de TI — se tornam alvos indiretos de ameaças voltadas a organizações maiores.