FancyBear Exposto: Falha Grave de OPSEC em Operações de Espionagem Russas

O FancyBear expôs, por descuido operacional, um de seus C2s ativos em um VPS da NameCheap, e não foi um erro isolado, mas o sintoma de uma pressão crescente sobre a infraestrutura do grupo desde 2022. A falha na OPSEC permitiu acesso direto ao código-fonte do servidor, logs completos de telemetria e iscas PDF direcionadas a alvos específicos: promotores ucranianos, Força Aérea Romena, GEETHA grega e Ministério da Defesa sérvio. O toolkit modular explorava XSS em Roundcube e SquirrelMail para implantar regras Sieve persistentes, redirecionando mensagens para advenwolf@proton[.]me sem qualquer interação além da abertura de um e-mail malicioso. Isso é coerente com padrões observados desde 2024: o grupo migrou de implantes monolíticos (como XAgent) para cadeias de infecção modulares que abusam de serviços legítimos, como filen.io em janeiro de 2026 e agora o próprio protocolo Sieve como vetor de exfiltração silenciosa.

A infraestrutura exposta também revela uma mudança tática concreta: em vez de depender exclusivamente de domínios falsos ou C2s em nuvem, o grupo passou a usar funcionalidades nativas de webmail como mecanismo de persistência. Isso reduz a detecção em tráfego de rede, evita comunicação externa suspeita e escala automaticamente com o volume de e-mails recebidos, um salto operacional em relação às campanhas anteriores baseadas em backdoors VBA (NotDoor) ou CovenantGrunt.

Essa falha não é só um vazamento de dados: ela demonstra que o FancyBear está usando o próprio ecossistema de e-mail corporativo como arma. Regras Sieve não autorizadas são difíceis de detectar em ambientes onde o ManageSieve está habilitado por conveniência, e quase impossíveis de rastrear sem auditoria ativa no lado do servidor. Para defensores, isso significa que a proteção contra espionagem russa já não começa com EDR ou sandboxing, mas com revisão de permissões de webmail, desativação de serviços desnecessários e monitoramento contínuo de regras de encaminhamento. A exposição também confirma que o grupo mantém infraestrutura frágil mesmo em operações críticas, um ponto de alavancagem real para resposta ofensiva e bloqueio proativo.