# European Diplomatic Phishing 2025
> [!warning] APT29 usa convites falsos para degustacao de vinho para espionar diplomatas europeus
> Identificada em janeiro de 2025 pelo Check Point Research, esta campanha do [[g0016-apt29|APT29]] (Midnight Blizzard/SVR) usou convites falsos de jántar diplomatico e degustacao de vinho em nome de um ministerio europeu para distribuir o novo loader GRAPELOADER contra entidades diplomaticas na Europa e India. A campanha introduz atualizacoes técnicas significativas no arsenal do grupo.
## Visão Geral
A **European Diplomatic Phishing 2025** representa a mais recente evolução das operações de espionagem diplomatica do [[g0016-apt29|APT29 / Cozy Bear]], grupo vinculado ao Servico de Inteligência Estrangeiro da Russia (SVR). A campanha, identificada pelo **Check Point Research** em janeiro de 2025, demonstra a sofisticacao continuamente refinada do grupo: o vetor de phishing simula perfeitamente um convite diplomatico oficial de um **ministerio de relacoes exteriores europeu**, utilizando temas de **eventos de degustacao de vinho e jántares diplomaticos** para atrair vitimas de alto valor em embaixadas e missoes diplomaticas.
A novidade técnica central e o loader **GRAPELOADER**, que substitui o ROOTSAW/HTA anteriormente utilizado pelo grupo. O GRAPELOADER e distribuido via link para um arquivo `wine.zip` e executa DLL side-loading via um executavel PowerPoint legitimo (`wine.exe`), estabelecendo persistência via Registry Run Key antes de fazer beacon para o C2. O payload final e uma versao atualizada do backdoor **WINELOADER** - que mantem o nome tematico de vinho do APT29 - com módulos de espionagem aprimorados e injecao de shellcode sofisticada.
A campanha visou **entidades diplomaticas em toda a Europa** e paises com missoes diplomaticas indianas significativas. O fato de o SVR continuar investindo em novas ferramentas e técnicas de phishing diplomatico em 2025 - mesmo sob sancoes e exposicao pública extensiva - confirma que as operações de espionagem contra diplomatas europeus sao prioridade estratégica permanente da Russia. Para organizacoes brasileiras com corpo diplomatico ou parceiros governamentais europeus, o padrao GRAPELOADER/WINELOADER e uma ameaça relevante de cross-targeting.
## Attack Flow - APT29 Diplomatic Phishing
```mermaid
graph TB
A["🍷 Lure Diplomatico<br/>Convite falso jántar/degustacao"] --> B["📧 Spear-phishing<br/>Link para wine.zip controlado"]
B --> C["⬇ GRAPELOADER<br/>DLL Side-Loading via PowerPoint"]
C --> D["🔑 Registry Run Key<br/>Persistência T1547.001"]
D --> E["📡 C2 RC4<br/>bravecup.com/view.php"]
E --> F["🕵 WINELOADER Backdoor<br/>Modules + shellcode injection"]
F --> G["💀 Espionagem Diplomatica<br/>Comúnicacoes confidenciais SVR"]
classDef lure fill:#2a1a3a,color:#ccaaff,stroke:#9b59b6
classDef loader fill:#1a2a3a,color:#aaccff,stroke:#2980b9
classDef impact fill:#1a3a2a,color:#aaffcc,stroke:#16a085
class A,B lure
class C,D,E loader
class F,G impact
```
**European Diplomatic Phishing 2025** é uma campanha de espionagem renovada do [[g0016-apt29|APT29 / Cozy Bear]] (Midnight Blizzard / SVR russo), identificada em janeiro de 2025 pelo **Check Point Research**. O grupo se passou por um ministério de relações exteriores europeu para enviar convites falsos para **eventos de degustação de vinho e jántares diplomáticos** a entidades diplomáticas em toda a Europa e países com missões diplomáticas indianas. A campanha introduz o novo loader **GRAPELOADER** como substituto do ROOTSAW/HTA, entregando uma versão atualizada do backdoor **WINELOADER**.
## Resumo Operacional
A campanha é uma evolução direta das operações WINELOADER de 2024 (detectadas em janeiro-fevereiro de 2024 contra partidos políticos alemães e diplomatas europeus). O APT29 manteve o tema "vinho" - uma escolha deliberada que mescla apelo cultural com pretextos diplomáticos plausíveis. O grupo utilizou domínios controlados (`bakenhof[.]com`, `silry[.]com`) para distribuir links maliciosos; alvos que não completaram o download receberam e-mails de acompanhamento, demonstrando operadores ativamente gerenciando a campanha.
## Indicadores de Comprometimento
> [!ioc]- IOCs - European Diplomatic Phishing 2025 / APT29 GRAPELOADER (TLP:WHITE)
> Fonte: Check Point Research, abril 2025.
>
> **Dominios C2 (Defanged)**
> - `bakenhof[.]com` - dominio de distribuição dos links maliciosos wine.zip
> - `silry[.]com` - dominio de distribuição alternativo dos links maliciosos
> - `bravecup[.]com` - servidor C2 GRAPELOADER (endpoint `/view.php`)
>
> **Arquivos Maliciosos (wine.zip)**
> - `wine.exe` - executavel PowerPoint legitimo usado para DLL side-loading
> - `AppvIsvSubsystems64.dll` - DLL decoy com código lixo
> - `ppcore.dll` - GRAPELOADER loader malicioso principal
>
> **Artefatos no Host**
> - Copia dos tres arquivos de wine.zip para `%APPDATA%\Roaming\`
> - Registry Run key criada para persistência (exceto se executando em C:\Windows\System32)
>
> **Protocolo C2**
> - HTTP GET para `bravecup[.]com/view.php` com dados do host criptografados RC4 (chave de 256 bytes hardcoded)
> - User-Agent spoofado simulando Windows 7 + Microsoft Edge
## Detalhes Técnicos
### Lure e Engenharia Social
**Mecânica do lure:**
- E-mails de spear-phishing se passando por comúnicações oficiais de ministério europeu de relações exteriores
- Assuntos como "Wine Event" ou "Diplomatic dinner" - apelativos para o contexto diplomático
- Links para download de `wine.zip` em domínios controlados pelos atacantes
- Alvos que falharam no download receberam e-mails de follow-up - gerenciamento ativo de campanha
**Alvos:** Entidades diplomáticas europeias, com foco particular em países hospedando missões diplomáticas indianas. Países previamente atingidos em campanhas WINELOADER incluem Tchéquia, Alemanha, Índia, Itália, Letônia e Peru.
### GRAPELOADER - Novo Loader
`wine.zip` contém três componentes:
| Arquivo | Função |
|---------|---------|
| `wine.exe` | Executável legítimo PowerPoint para DLL side-loading |
| `AppvIsvSubsystems64.dll` | DLL de dependência com código lixo (decoy) |
| `ppcore.dll` | **GRAPELOADER** - loader malicioso principal |
**Fluxo de execução do GRAPELOADER:**
1. Copia os três arquivos para disco (`%APPDATA%\Roaming\`) e configura persistência via **Registry Run key** (exceto se executando em `C:\Windows\System32`)
2. Coleta fingerprint do host (nome, username, PID, IP)
3. Envia dados via HTTP GET para servidor C2 (`bravecup[.]com/view.php`), criptografados com **RC4** (chave de 256 bytes hardcoded)
4. Baixa e executa shellcode de próxima fase (WINELOADER) em thread suspensa com proteção `PAGE_NOACCESS`
**User-Agent:** Spoofado simulando Windows 7 + Microsoft Edge - anomalia detectável em análise de tráfego.
### WINELOADER - Backdoor Atualizado
O WINELOADER 2025 é uma DLL de 64 bits (ex: `vmtools.dll`) com 964 exports e seção `.text` com permissões RWX:
| Característica | Detalhes |
|----------------|----------|
| **Desempacotamento** | Descriptografia RC4 (chave 256 bytes hardcoded) de shellcode core; código auto-modificável |
| **Anti-análise** | Verificação de processos/DLLs, bypass de hooks NTDLL usermode, shellcode position-independent |
| **C2** | HTTP GET com dados de ambiente (username, processo, hostname); tarefas recebidas para execução de módulos, injeção e atualização de sleep |
| **Ligação com APT29** | Compartilha padrões RC4 e de invocação com BURNTBATTER, MUSKYBEAT e BEATDROP |
**Evolução:** A variante 2025 apresenta código compartilhado e timestamps com o GRAPELOADER, além de técnicas de evasão refinadas comparadas às versões de 2024.
### TTPs e MITRE ATT&CK
| Tática | Técnica |
|--------|---------|
| Acesso Inicial | T1566.002 - Spear-phishing com link |
| Execução | T1204.002 - User execution via arquivo malicioso |
| Persistência | T1547.001 - Registry Run Key |
| Evasão | T1574.002 - DLL Side-Loading; T1027 - Obfuscated Files |
| C2 | T1071.001 - Web Protocols (HTTPS) |
| Descoberta | T1082 - System Information Discovery |
O GRAPELOADER substituiu o ROOTSAW/dropper HTA usado em campanhas anteriores do APT29, indicando desenvolvimento contínuo de tooling.
## Contexto Geopolítico
A campanha de espionagem de janeiro de 2025 ocorre no contexto de tensões geopolíticas europeias em torno da guerra na Ucrânia - período em que comúnicações diplomáticas sobre apoio ocidental e posicionamento de aliados têm valor de inteligência excepcionalmente elevado para o SVR. O foco em missões diplomáticas relacionadas à Índia sugere interesse russo em entender o posicionamento indiano sobre o conflito.
- [[g0016-apt29|APT29 / Cozy Bear]]
- [[t1566-phishing|T1566 - Phishing]]
- [[t1574-002-dll-side-loading|T1574.002 - DLL Side-Loading]]
- [[microsoft-corporate-breach-2024|Microsoft Corporaté Breach 2024]]
- [[covid-19-vaccine-espionage|COVID-19 Vaccine Espionage]]
- [[european-diplomatic-phishing-2025|European Diplomatic Phishing 2025]]
- [[government]]
## Relevância para o Brasil e LATAM
O Peru é o único país da América Latina explicitamente mencionado entre os alvos de campanhas WINELOADER anteriores do APT29, confirmando que o grupo SVR tem interesses de coleta de inteligência na região. O Brasil, como maior economia da América Latina e com presença diplomática ativa na Europa e relações estabelecidas com Rússia, India e China, representa um alvo potencial de alto valor para operações de espionagem do SVR. O Ministério das Relações Exteriores (Itamaraty) e missões diplomáticas brasileiras no exterior devem revisar controles de segurança para e-mails de phishing com pretextos diplomáticos plausíveis.
A técnica de DLL Side-Loading via executáveis legítimos (como o PowerPoint.exe) é especialmente difícil de detectar com soluções antivírus tradicionais, pois o processo legítimo carrega a DLL maliciosa. Organizações governamentais brasileiras devem implementar monitoramento de execução de processos baseado em comportamento (EDR) e alertas para DLLs carregadas por aplicativos Office em caminhos não padrão como `%APPDATA%\Roaming\`. A campanha demonstra que even poderosas nações produtoras de inteligência como a Rússia mantêm operações ativas contra alvos diplomáticos em 2025, tornando controles de segurança para o setor diplomático uma prioridade estratégica.
## Referências
- Check Point Research: "APT29 Phishing Campaign - GRAPELOADER and WINELOADER" (Abril 2025)
- Mandiant/Google: "APT29 WINELOADER - German Political Parties" (Análise 2024)
- Zscaler: "European Diplomats Targeted by APT29 Cozy Bear: WINELOADER"
- The Hacker News: "APT29 Deploys GRAPELOADER Malware in Embassy Phishing" (2025)