OceanLotus: da espionagem externa ao foco em alvos no Vietnã

Nosso monitoramento das atividades do OceanLotus entre 2024 e 2026 revela uma mudança em seu foco operacional. Durante esse período, o grupo alinhado ao Vietnã adotou uma abordagem mais seletiva em suas operações externas, ao mesmo tempo em que intensificou seus esforços de espionagem interna. Identificamos duas campanhas distintas que utilizaram o backdoor SPECTRALVIPER: um ataque à cadeia de suprimentos direcionado a investidores do mercado de ações no Vietnã e uma operação prolongada de espionagem contra uma empresa vietnamita do setor de infraestrutura e transporte.

Ainda não está claro se essa mudança representa um ajuste temporário ou uma alteração estratégica de longo prazo. No entanto, esse grupo APT, com 15 anos de atividade, continua demonstrando táticas agressivas e um elevado nível de sofisticação em suas ferramentas e operações.

Principais pontos deste post:

• Entre meados de 2024 e fevereiro de 2026, o OceanLotus comprometeu a rede de uma empresa vietnamita dos setores de infraestrutura e transporte utilizando seu implante característico, o SPECTRALVIPER.
• Entre outubro de 2025 e março de 2026, o OceanLotus realizou um ataque à cadeia de suprimentos explorando o FireAnt Metakit, uma plataforma de software amplamente utilizada por investidores do mercado de ações no Vietnã.
• Apesar do potencial alcance desse ataque, observamos que apenas um número reduzido de indivíduos recebeu efetivamente o SPECTRALVIPER, o que indica uma seleção criteriosa dos alvos.
• Uma falha operacional (OPSEC) permitiu obter uma visão interna da arquitetura do SPECTRALVIPER.

Perfil do OceanLotus

O OceanLotus, também conhecido como APT32, é um grupo de ciberespionagem supostamente alinhado aos interesses do governo vietnamita. De acordo com nossa telemetria, as atividades atribuídas a esse grupo remontam a 2012, ou até mesmo antes. O OceanLotus concentra suas operações principalmente na China e no Sudeste Asiático, com especial foco no Vietnã, e já foi associado a uma ampla variedade de ações, desde campanhas massivas de monitoramento e coleta de informações até ataques altamente direcionados contra ativistas vietnamitas de direitos humanos.

O grupo é conhecido por inovar continuamente e expandir seu arsenal de backdoors para Windows e Linux, frequentemente implementando protocolos de rede exclusivos ou adaptando suas capacidades de coleta de dados a objetivos operacionais específicos. Entre suas ferramentas mais conhecidas estão o Denis (também chamado de SOUNDBITE), que utiliza tunelamento DNS para comunicações de comando e controle (C&C); o PHOREAL, que emprega o protocolo ICMP para comunicações de C&C; o WINDSHIELD, que incorpora um mecanismo sofisticado de evasão de proxy; e seu backdoor mais recente, o SPECTRALVIPER, que inclui recursos avançados de orquestração de operações.

OceanLotus: exposição e reorientação

Entre 2017 e 2020, o OceanLotus atraiu considerável atenção pública após a divulgação de diversos relatórios que detalhavam suas atividades de ciberespionagem. Essas ações incluíram ataques do tipo watering hole em larga escala direcionados ao Sudeste Asiático entre 2017 e 2018, invasões a empresas como a BMW e a Hyundai em 2019, além de um ataque contra um dissidente vietnamita na Alemanha no mesmo ano. O grupo também foi associado a operações contra defensores dos direitos humanos entre 2019 e 2020, bem como a atividades de espionagem direcionadas ao governo municipal de Wuhan em 2020.

No entanto, suas operações sofreram um revés em 2020, quando a Meta (então Facebook) identificou publicamente a empresa supostamente utilizada como fachada pelo OceanLotus. Após essa exposição, os relatos públicos sobre o grupo diminuíram significativamente, e suas atividades passaram a receber relativamente pouca atenção por vários anos.

O OceanLotus voltou a chamar a atenção pública em 2023 com a divulgação de um relatório da Elastic Security Labs, que descrevia um ataque utilizando um backdoor até então não documentado, denominado SPECTRALVIPER, direcionado a empresas vietnamitas. Com base nessa descoberta, nossa pesquisa analisou as atividades mais recentes do grupo, observadas entre meados de 2024 e o início de 2026.

Durante esse período, identificamos duas campanhas distintas que utilizaram o SPECTRALVIPER como principal backdoor, mas com perfis de vítimas bastante diferentes.

A primeira campanha envolveu o comprometimento de uma empresa dos setores de infraestrutura e transporte. A intrusão teve início em meados de 2024 e permaneceu ativa até janeiro de 2026.

A segunda campanha foi um ataque à cadeia de suprimentos que teve início no final de 2025 e se estendeu até março de 2026. Nessa operação, o OceanLotus comprometeu o servidor de atualizações do FireAnt Metakit, uma plataforma vietnamita de investimentos em ações, e substituiu atualizações legítimas do software por um payload malicioso que, posteriormente, implantava o SPECTRALVIPER. A campanha parece ter sido direcionada a investidores do mercado acionário e pode estar relacionada aos recentes esforços do Vietnã para promover reformas no mercado de capitais, o que sugere uma possível conexão com objetivos de monitoramento ou investigação interna.

Além disso, em julho de 2025, um ataque à cadeia de suprimentos envolvendo o envio de pacotes wheel maliciosos para o Python Package Index (PyPI) foi atribuído ao OceanLotus. No entanto, nossa telemetria não identificou vítimas afetadas, e não dispomos de visibilidade suficiente para confirmar essa atribuição de forma independente.

De modo geral, as evidências disponíveis apontam para uma possível mudança nos padrões operacionais do OceanLotus. Desde a exposição da empresa de fachada supostamente utilizada pelo grupo em 2020, o OceanLotus parece ter adotado uma abordagem mais seletiva em suas operações de espionagem internacional, ao mesmo tempo em que aumenta seu foco em alvos localizados no Vietnã.

Contexto desta campanha

Vale destacar que as atividades mais recentes do OceanLotus parecem estar alinhadas a diversos acontecimentos recentes no cenário interno do Vietnã.

Nos últimos anos, as autoridades vietnamitas têm conduzido uma ampla campanha de combate à corrupção, conhecida como Blazing Furnace ("Fornalha Ardente"). Semelhante à campanha anticorrupção promovida por Xi Jinping, na China, essa iniciativa, lançada pelo Partido Comunista do Vietnã, busca demonstrar à população que o partido está disposto e é capaz de combater a corrupção em suas próprias fileiras, preservando assim sua legitimidade.

Desde 2016, essa política resultou em diversos julgamentos de grande repercussão envolvendo membros do partido e empresários acusados de subornar autoridades públicas. Além disso, dois presidentes vietnamitas foram levados a renunciar desde 2023 após terem seus nomes associados publicamente a escândalos de corrupção.

Somente em 2025, o partido aplicou sanções a cerca de 9.600 de seus integrantes em casos relacionados à corrupção, crimes econômicos e abuso de poder.

Nesse contexto, é provável que o aparato de segurança do Vietnã esteja destinando cada vez mais recursos para o combate à corrupção (e aos crimes financeiros em geral). Acreditamos que o grupo OceanLotus possa estar, de alguma forma, associado a esses esforços, o que ajudaria a explicar sua aparente mudança de foco para atividades de inteligência e vigilância doméstica nos últimos dois anos. De fato, os dois alvos identificados nesta campanha estão relacionados a casos judiciais recentes que ganharam grande repercussão pública no Vietnã.

Por exemplo, no final de outubro de 2025, o órgão regulador do mercado financeiro vietnamita anunciou que cerca de 70 grandes empresas do país haviam falsificado seus relatórios de vendas de títulos ao longo da última década. A revelação provocou uma queda de 5,5% no principal índice da bolsa de valores vietnamita. Esse anúncio sugere que as forças de segurança do Vietnã provavelmente já conduziam amplas investigações no mercado financeiro no mesmo período em que o OceanLotus foi observado comprometendo o aplicativo FireAnt.

Com base nesses elementos, acreditamos que o ataque à cadeia de suprimentos realizado pelo OceanLotus provavelmente fez parte dos esforços em andamento para investigar casos de corrupção e crimes financeiros no Vietnã.

Os investidores do mercado de ações na mira

A cadeia de suprimentos

Estimamos que o ataque à cadeia de suprimentos da FireAnt tenha começado por volta de outubro de 2025 e continuado até março de 2026. Durante esse período, identificamos alguns investidores do mercado de ações expostos à cadeia de suprimentos; no entanto, apenas um pequeno subconjunto deles acabou recebendo o backdoor SPECTRALVIPER. Nossa equipe realizou várias tentativas de notificar a FireAnt sobre o incidente, mas não obteve resposta.

A FireAnt é uma empresa fintech sediada no Vietnã que oferece uma plataforma de dados do mercado de ações, análises e ferramentas de apoio a investimentos para investidores individuais e institucionais. É considerada uma das principais plataformas digitais de investimento do Vietnã, fornecendo dados de mercado em tempo real, recursos de análise técnica e insights impulsionados por inteligência artificial, além de um componente comunitário no qual investidores podem compartilhar informações e opiniões.

Dentro desse ecossistema, o FireAnt MetaKit é um componente de software especializado na distribuição de dados. Ele foi desenvolvido para fornecer dados financeiros de mercado, tanto em tempo real quanto históricos, diretamente para plataformas de análise técnica como AmiBroker, MetaStock e MetaTrader.

Em 2 de outubro de 2025, detectamos a primeira carga maliciosa proveniente da URL legítima de atualização do FireAnt MetaKit: http://metakit.fireant[.]vn/Software/setup.exe. O domínio apontava para o endereço IP legítimo do servidor de atualizações da FireAnt, o que sugere um cenário de comprometimento da cadeia de suprimentos. Nossa análise dessa carga revelou um downloader em sua primeira versão, indicando que essa atividade provavelmente representava uma fase inicial da campanha, na qual o grupo OceanLotus estava testando o mecanismo de entrega em vítimas selecionadas. Na Tabela 1, comparamos esse downloader inicial com a versão estável observada posteriormente durante a campanha.

Tabela 1. Comparação entre a versão de teste e a versão estável do downloader.

Além de observar cargas maliciosas distribuídas diretamente pelo servidor de atualizações da FireAnt, identificamos falhas no protocolo de atualização utilizado pelo software FireAnt MetaKit. Em particular, o arquivo de configuração de atualização localizado em http://metakit.fireant.vn/Software/version.xml não possuía qualquer mecanismo de validação de integridade, conforme ilustrado na Figura 1.

Em segundo lugar, a ausência de criptografia SSL/TLS no protocolo de rede utilizado para obter tanto o arquivo version.xml quanto quaisquer binários atualizados torna o FireAnt MetaKit vulnerável a ataques de interceptação (man-in-the-middle). No entanto, não observamos o grupo OceanLotus explorando essa técnica nesta campanha.

A cadeia de execução

Devido à ausência de validação de assinaturas digitais, o Metakit.exe executou o downloader malicioso como se fosse uma atualização legítima. Após ser iniciado, o downloader realizou um reconhecimento básico do sistema comprometido e transmitiu as informações coletadas por meio de uma requisição HTTP POST para um servidor de staging, solicitando a carga maliciosa da próxima etapa da infecção (Figura 2).

Em todas as amostras observadas, a API de download V1/Update/GetUpdate permaneceu consistente. No entanto, a infraestrutura de staging evoluiu ao longo do tempo, com os servidores de comando e controle (C&C) inicialmente hospedados no endereço IP 139.162.11[.]152 e posteriormente migrados para 142.91.98[.]77.

Na etapa seguinte, o downloader implantou uma cadeia de side-loading envolvendo o arquivo DtlCrashCatch.dll, que corresponde ao SPECTRALVIPER configurado como loader, e seu executável associado, IntelAudioService.exe. Este último foi executado com o seguinte comando:

C:\Users\[redacted]\IntelAudio\Service\IntelAudioService.exe /appmodel /StateRepository /Service

A análise revelou que o IntelAudioService.exe é, na verdade, uma cópia do executável legítimo e assinado dtlupdate.exe, conforme mostrado na Figura 3.

Uma vez executado, o DtlCrashCatch.dll é injetado no processo neDrive.Sync.Service.exe, permitindo a execução do malware em modo backdoor. Em seguida, o backdoor envia uma solicitação de beacon para a URL codificada no binário https://financemachinelearning[.]com/apparatus/wind/twig/statement.html, incorporando informações criptografadas do sistema comprometido no cabeçalho HTTP Cookie. Historicamente, esses dados utilizavam o prefixo euconsent-v2=; no entanto, nesta campanha observamos o uso do prefixo zd_cs_pm= (Figura 4), marcando a primeira aparição conhecida dessa variante.

A cadeia completa de execução do ataque está resumida na Figura 5.

Desde 9 de março de 2026, não observamos novas atualizações maliciosas sendo distribuídas por meio do canal comprometido, o que sugere que o ataque à cadeia de suprimentos provavelmente foi encerrado.

Ataque direcionado a uma grande empresa

Avaliamos que o comprometimento da rede corporativa de uma empresa vietnamita do setor de construção de infraestrutura e transporte teve início já em novembro de 2024 e persistiu até fevereiro de 2026. Embora o vetor de acesso inicial não tenha sido observado diretamente, nossa análise dos servidores expostos do alvo sugere que os invasores podem ter explorado vulnerabilidades de execução remota de código (RCE) em um servidor Microsoft SQL Server para obter acesso inicial.

Durante esse período, identificamos múltiplas variantes do SPECTRALVIPER implantadas na rede, utilizando tanto servidores de comando e controle (C&C) compartilhados quanto distintos. Notavelmente, essas implantações apresentavam pequenas variações, possivelmente adaptadas aos ambientes dos sistemas comprometidos (Figura 6).

Os arquivos Genuine.exe, Updater.exe e AutoCAD242.exe, mostrados na Figura 6, são variantes do mesmo executável legítimo e assinado Toolbox.exe (Figura 7). Todos eles exigem o parâmetro de linha de comando -uiDll para que o mecanismo de side-loading funcione corretamente.

Assim como no ataque à cadeia de suprimentos, a DLL carregada corresponde ao SPECTRALVIPER configurado como loader, que posteriormente injeta o backdoor SPECTRALVIPER em um processo legítimo do sistema comprometido.

A Tabela 2 apresenta os domínios de comando e controle (C&C) do SPECTRALVIPER observados durante esse incidente.

Tabela 2. Domínios C&C do SPECTRALVIPER observados no incidente.

SPECTRALVIPER: uma visão estrutural

Nossa análise do SPECTRALVIPER está alinhada de perto com as descobertas relatadas pela Elastic Security Labs. Em vez de reiterar detalhes já publicados, expandimos esse trabalho fornecendo informações adicionais sobre a estrutura das classes internas do malware.

Durante nossa investigação, identificamos duas amostras que continham informações de RTTI (Run-Time Type Information), o que nos permitiu reconstruir parcialmente uma hierarquia de classes. Essa perspectiva oferece maior visibilidade sobre as capacidades do SPECTRALVIPER, bem como sobre sua arquitetura subjacente.

Em alto nível, o SPECTRALVIPER opera como um backdoor ativo que se comunica com seu servidor de comando e controle (C&C) por meio de HTTPS. Ele inicia a comunicação enviando um beacon para um endereço codificado no binário (hardcoded), utilizando um cabeçalho User-Agent predefinido. Os dados de identificação do sistema comprometido são criptografados e incorporados ao cabeçalho HTTP Cookie, precedidos pelos prefixos euconsent-v2= ou zd_cs_pm=.

Os domínios de C&C parecem ser cuidadosamente projetados para cada campanha, de modo a se misturarem ao tráfego legítimo da vítima. Por exemplo, o domínio financemachinelearning[.]com foi utilizado em operações direcionadas a investidores do mercado financeiro, enquanto gatewayrvcenter[.]com foi observado em atividades voltadas à rede da empresa de infraestrutura e transporte.

O SPECTRALVIPER também oferece suporte à movimentação lateral por meio de um modelo de orquestração, no qual uma das instâncias é designada como orquestradora e fica responsável pela comunicação com a infraestrutura de comando e controle (C&C). Essa instância distribui comandos para outros hosts comprometidos por meio de canais de named pipes (tubos nomeados). Na base de código, a comunicação entre as instâncias é implementada por métodos como XGU::Pivot::StartLink e XGU::Pivot::Internal::WaitNew_RemotePipe.

A análise desses nomes sugere que XGU representa um framework interno que serve de base para o SPECTRALVIPER. A subclasse Pivot herda de XGU e é responsável pelas funcionalidades de orquestração. Outra subclasse importante, Feature, encapsula os recursos de controle remoto do malware, conforme ilustrado na Figura 8.

Além de atuar como backdoor, o SPECTRALVIPER funciona como um loader capaz de injetar a si próprio, bem como binários adicionais ou shellcodes recebidos do servidor C&C, em processos-alvo.

Nas duas campanhas analisadas, o SPECTRALVIPER foi inicialmente configurado para atuar no papel de loader, injetando seu componente de backdoor em um processo separado, em vez de depender de um carregador independente. Essas capacidades de manipulação de processos e injeção são implementadas pelas classes ProcessReflector e ProcessManager, conforme mostrado na Figura 9.

O grupo ampliou o foco

Neste post, apresentamos atualizações sobre o OceanLotus, um grupo APT alinhado ao Vietnã. De acordo com nossa telemetria, a atividade observada entre 2024 e 2026 sugere que o grupo ampliou seu foco em operações de espionagem doméstica.

Descrevemos dois incidentes ocorridos nesse período: um ataque à cadeia de suprimentos que utilizou o FireAnt MetaKit para atingir investidores do mercado de ações no Vietnã e o comprometimento de uma empresa vietnamita de construção de infraestrutura e transporte. Em ambos os casos, o OceanLotus implantou seu backdoor característico, o SPECTRALVIPER, nos sistemas das vítimas.

Um aspecto particularmente relevante foi uma falha de segurança operacional (OPSEC), que resultou na preservação de nomes RTTI em uma amostra do SPECTRALVIPER. Isso permitiu reconstruir parte da arquitetura interna do backdoor e obter uma compreensão mais aprofundada de seu funcionamento.

Indicadores de Comprometimento

Uma lista completa de Indicadores de Comprometimento (IoCs) e das amostras analisadas pode ser encontrada em nosso repositório no GitHub.

Arquivos

Rede

Técnicas MITRE ATT&CK

Esta tabela foi elaborada com base na versão 19 do framework MITRE ATT&CK.