Atores do Nexus Chinês Redirecionam Foco para o Catar em Meio ao Conflito Iraniano

O Camaro Dragon, grupo de espionagem ligado à China, acelerou sua operação contra o Catar em menos de 24 horas após os ataques cinéticos e cibernéticos da 'Operation Epic Fury', uma campanha conjunta EUA-Israel contra o Irã em 28 de fevereiro de 2026. Isso não é só reação rápida: é exploração calculada de um vácuo de atenção operacional. Enquanto defensores se voltavam para redes iranianas e instalações militares dos EUA no Bahrein e Kuwait, o Catar, que abriga a Al Udeid Air Base (maior base aérea dos EUA no Oriente Médio) e atua como mediador entre Teerã, Riad e Washington, ficou exposto. As iscas usadas eram arquivos falsos de imagens de danos em bases norte-americanas, geradas por IA com linguagem técnica plausível e metadados forjados, replicando padrões de comunicação oficial em tempo real de crise.

A entrega do PlugX via DLL hijacking do Baidu NetDisk mostra reaproveitamento de cadeias de confiança já validadas: o binário legítimo é assinado digitalmente e instalado por usuários em ambientes corporativos com pouca restrição, especialmente em setores de diplomacia e defesa que mantêm softwares chineses por necessidade operacional. Já o uso do nvdaHelperRemote.dll no segundo vetor revela um salto tático, esse componente do NVDA tem permissões elevadas para interagir com entradas de teclado e tela, o que amplia o impacto do acesso inicial. Não é coincidência que o mesmo módulo tenha sido explorado em vulnerabilidades recentes (CVE-2025-26326 e atualizações de outubro de 2025): os atacantes estão monitorando patches, não apenas falhas.

Esses ataques não são sobre roubo de dados aleatório. São sobre posicionar sensores em um nó crítico de coordenação militar regional. O Catar hospeda canais de comunicação entre EUA, Israel, Arábia Saudita e Irã, inclusive durante negociações secretas pós-Epic Fury. Um único endpoint comprometido com PlugX ou Cobalt Strike pode fornecer acesso contínuo a conversas de segurança nacional, planos logísticos de reabastecimento aéreo e até gravações de reuniões virtuais com criptografia fraca. Para empresas brasileiras com operações no Golfo, o risco não é indireto: fornecedores locais de TI, consultorias de defesa e parceiros logísticos estão na linha de fogo. A MFA e EDR são necessárias, mas insuficientes sem revisão de políticas de execução de binários de terceiros e controle rigoroso de DLLs carregadas em aplicações de acessibilidade.