# Machete > [!warning] El Machete - Espionagem Militar LATAM Especializada > Machete e o grupo APT mais focado em **espionagem militar na América Latina**. Com operações documentadas desde 2010 e campanhas ativas confirmadas até 2022, o grupo demonstra profundo conhecimento de jargao militar venezuelano, documentos classificados e procedimentos internos de forcas armadas. Especialidade única: **exfiltração de dados GIS** - roubando arquivos de sistemas de informação geografica com rotas de navegacao e posicionamento em grids militares. ## Visão Geral Machete (APT-C-43, El Machete) e um grupo de ciberespionagem de lingua espanhola, ativo desde pelo menos 2010, com foco quase exclusivo em alvos de alto perfil na América Latina - primariamente forcas militares, servicos de inteligência, governos e infraestrutura critica. O grupo e notoriamente caracterizado por **sofisticacao social acima da técnica**: utiliza documentos militares reais previamente roubados como iscas de spear-phishing, demonstrando conhecimento profundo de seus alvos, seus processos internos e sua linguagem específica. A atribuicao geografica do grupo permanece debatida: ESET, Kaspersky e 360 Total Security confirmam origem hispano-falante; a 360 Security suspeita de nexo com forcas anti-Maduro na Colombia (campanha HpReact 2019-2020). O grupo combina baixa sofisticacao técnica (malware Python baseico) com alto impacto operacional (gigabytes de dados militares confidenciais roubados semanalmente). Em 2022, o grupo expandiu alvos alem da Venezuela para incluir Israel, Arabia Saudita e Paquistao, usando documentos isca sobre a guerra Russia-Ucrania. **Também conhecido como:** APT-C-43, El Machete **MITRE ATT&CK:** [G0095](https://attack.mitre.org/groups/G0095/) ## Distribuição Geografica de Alvos (2019) ```mermaid pie title Alvos por Pais - Campanha 2019 "Venezuela (Militar)" : 75 "Equador (Forcas Armadas)" : 16 "Colombia e outros" : 9 ``` ## Attack Flow - Espionagem Militar ```mermaid graph TB A["Recon<br/>Coleta de inteligencia<br/>sobre alvo específico"] --> B["Spear-phishing Dirigido<br/>Documento militar real roubado<br/>como isca convincente"] B --> C["Execução<br/>Self-extracting archive<br/>com documento decoy"] C --> D["Persistência<br/>Scheduled task a cada 30min<br/>Startup folder / registry"] D --> E["Espionagem Continua<br/>Screen capture + keylog<br/>Mic / camera / GIS files"] E --> F["Exfiltração<br/>FTP + HTTP C2<br/>USB quando ha acesso fisico"] classDef recon fill:#34495e,color:#fff,stroke:#2c3e50 classDef spear fill:#c0392b,color:#fff,stroke:#922b21 classDef exec fill:#e67e22,color:#fff,stroke:#d35400 classDef persist fill:#8e44ad,color:#fff,stroke:#6c3483 classDef spy fill:#1a5276,color:#fff,stroke:#154360 classDef exfil fill:#196f3d,color:#fff,stroke:#145a32 class A recon class B spear class C exec class D persist class E spy class F exfil ``` ## Capacidades Técnicas do Malware Machete O malware Machete e escrito em **Python** e possui módulo completo de espionagem: - Captura de screenshots em intervalos regulares - Keylogging continuo - Gravacao de audio via microfone - Captura de video via webcam - Coleta de documentos (Office, PDF, GIS files) - **Exfiltração especializada de arquivos GIS** (formato .kml, .shp, .gpx - rotas de navegacao militares) - Comúnicação cifrada com C2 a cada 10 minutos - Módulo de exfiltração via **USB** (indica presenca fisica nos paises-alvo) - Compressao e codificacao (Zlib + Base64) para evasão de AV (desde 2018) - Todos os componentes usam "Google" em nomes de arquivos para mascarar intencao maliciosa ## Técnicas Utilizadas - [[t1204-002-malicious-file|T1204.002 - Malicious File]] - [[t1566-002-spearphishing-link|T1566.002 - Spearphishing Link]] - [[t1566-001-spearphishing-attachment|T1566.001 - Spearphishing Attachment]] - [[t1059-003-windows-command-shell|T1059.003 - Windows Command Shell]] - [[t1059-005-visual-basic|T1059.005 - Visual Basic]] - [[t1059-006-python|T1059.006 - Python]] - [[t1053-005-scheduled-task|T1053.005 - Scheduled Task]] - [[t1547-001-registry-run-keys-startup-folder|T1547.001 - Registry Run Keys / Startup Folder]] - [[t1036-005-match-legitimate-resource-name-or-location|T1036.005 - Match Legitimaté Resource Name or Location]] - [[t1204-001-malicious-link|T1204.001 - Malicious Link]] - [[t1189-drive-by-compromise|T1189 - Drive-by Compromise]] - [[t1218-007-msiexec|T1218.007 - Msiexec]] - [[t1113-screen-capture|T1113 - Screen Capture]] - [[t1056-001-keylogging|T1056.001 - Keylogging]] - [[t1025-data-from-removable-media|T1025 - Data from Removable Media]] - [[t1119-automated-collection|T1119 - Automated Collection]] ## Software Utilizado - [[g0095-machete|Machete]] ## Historico de Campanhas | Ano | Campanha | Alvo Principal | Dados Roubados | | --- | -------- | -------------- | -------------- | | 2010-2013 | Operacoes iniciais | LATAM amplo | Governos, telecomúnicacoes | | 2014 | Kaspersky Report | Venezuela, Equador, Colombia | Gigabytes documentos gov | | 2019 | Campanha ESET | Militar venezuelano (75%) | Grids militares, rotas navais | | 2019-2020 | HpReact (360) | Forcas armadas Venezuela | Segredos militares | | 2022 | Expansao global | Israel, Arabia Saudita, Paquistao | Intel usando isca Ucrania | ## Relevância para o Brasil e LATAM > [!danger] Ameaça Direta a Defesa Nacional LATAM > Machete representa **ameaça critica e direta** para o Brasil. O grupo tem historico de operações confirmadas em todos os paises vizinhos ao Brasil (Venezuela, Colombia, Equador, Peru, Bolivia) e documentou interesse em infraestrutura critica (telecomúnicacoes, energia). A expansao para Israel, Arabia Saudita e Paquistao em 2022 demonstra capacidade operacional para alem do LATAM. Forcas Armadas brasileiras (Exercito, Marinha, Forca Aerea), Ministerio da Defesa, EMBRAER (defesa), AGU e orgaos de inteligência (ABIN) estao no perfil tipico de alvos de Machete. A especializacao em arquivos GIS e particularmente relevante para Brasil, dado que mapas de fronteiras, rotas de patrulha e posicionamento naval sao dados de alto valor estratégico. A técnica de usar **documentos militares reais previamente roubados** como iscas torna as campanhas extremamente convincentes - mesmo pessoal treinado pode ser enganado por documentos que parecem vir de colegas reais com conteudo relevante ao dia-a-dia militar. **Indicadores de risco elevado:** computadores com software GIS (ArcGIS, QGIS) em organizacoes militares/governo, acesso a mapas militares classificados, comunicação via email com paises LATAM com tensoes politicas. --- *Fontes: [MITRE ATT&CK - G0095](https://attack.mitre.org/groups/G0095) | [ESET - Machete 2019](https://www.welivesecurity.com/wp-content/uploads/2019/08/ESET_Machete.pdf) | [360 Total Security - HpReact](https://blog.360totalsecurity.com/en/apt-c-43-steals-venezuelan-military-secrets-to-provide-intelligence-support-for-the-reactionaries-hpreact-campaign/) | [Kaspersky LATAM](https://www.kaspersky.com.br/blog/sas-latam-operação-machete-espiona-governos-da-america-latina/3772/)*