Para muitos profissionais de segurança, a expressão vírus USB parece um vestígio de outra época. No início dos anos 2000, eram comuns as notícias sobre malwares que se espalhavam por mídias removíveis, infectando redes corporativas e sistemas governamentais, um pen drive de cada vez. No entanto, uma campanha de ciberespionagem recentemente divulgada, que teve como alvo uma organização governamental do Sudeste Asiático, prova que esse vetor de ataque continua muito vivo em 2026.
Pesquisadores da Unit 42 descobriram uma operação sofisticada que ocorreu entre junho e agosto de 2025. A campanha envolveu vários grupos de ameaças alinhados à China atuando simultaneamente no mesmo ambiente governamental, cada um utilizando seu próprio conjunto de malwares, ferramentas de acesso remoto e ladrões de informações. Apesar de empregarem técnicas e infraestruturas diferentes, todos compartilhavam o mesmo objetivo: manter acesso de longo prazo a sistemas governamentais sensíveis.
Entre as diversas ferramentas utilizadas, um componente chama a atenção de quem conhece segurança em mídias removíveis. O agente conhecido como Stately Taurus implantou um vírus propagado por USB chamado USBFect, também identificado como HIUPAN. Sua função era simples e extremamente eficaz: copiar a si mesmo para unidades removíveis conectadas e aguardar que essas unidades fossem ligadas a outro computador.
Esse método pode parecer simples quando comparado aos ransomwares modernos ou aos ataques impulsionados por IA, mas é justamente essa simplicidade que faz com que ele continue funcionando. Muitas organizações restringem o acesso à internet, bloqueiam anexos de e-mail e utilizam ferramentas avançadas de proteção de endpoints. Mesmo assim, continuam usando dispositivos USB para transferir arquivos entre sistemas, departamentos e ambientes isolados. Enquanto as mídias removíveis fizerem parte das operações diárias, continuarão sendo um caminho viável para ataques.
Para leitores interessados na evolução das tecnologias de proteção contra gravação, já publicamos um artigo mostrando como um pen drive USB pode ser projetado para não pegar vírus. Essa discussão se torna ainda mais relevante ao analisar malwares desenvolvidos especificamente para se replicarem por mídias removíveis.
Segundo o relatório, o USBFect monitora continuamente o sistema em busca de novas unidades removíveis conectadas. Assim que detecta uma delas, copia seus componentes para o dispositivo, permitindo que a infecção viaje até o próximo computador. O vírus se esconde em diretórios criados para se parecerem com pastas legítimas do Windows e da Intel, tornando improvável que uma inspeção superficial revele algo suspeito.
A campanha não se limitou à propagação. Depois de estabelecer acesso ao sistema, outros componentes adicionavam funções de acesso remoto, captura de teclas, monitoramento da área de transferência, coleta de arquivos e exfiltração de dados. Um ladrão de informações chamado TrackBak se disfarçava como um arquivo de log do Microsoft Edge enquanto coletava silenciosamente atividades do usuário e informações sensíveis.
O que torna essa campanha particularmente interessante é que três grupos distintos de ameaças operavam simultaneamente contra a mesma organização. Os pesquisadores identificaram ligações com grupos de espionagem já conhecidos, incluindo Earth Estries, Crimson Palace e Unfading Sea Haze. Embora o nível exato de coordenação ainda não esteja claro, a sobreposição sugere um esforço altamente organizado de coleta de inteligência.
O relatório também lembra que os dispositivos USB em si não são a vulnerabilidade. A vulnerabilidade está na capacidade do malware de utilizar o armazenamento removível como meio de transporte entre sistemas. O pen drive é apenas o veículo. Quando um malware consegue gravar seus arquivos em um dispositivo, ele transforma esse dispositivo em um portador involuntário da próxima infecção.
Essa distinção é importante porque muitas discussões sobre segurança USB se concentram em proibir totalmente o uso de mídias removíveis. Na prática, muitos órgãos governamentais, hospitais, indústrias e empresas continuam dependendo de dispositivos USB para atividades legítimas. Eliminar completamente o USB costuma ser inviável. Controlar como esses dispositivos são utilizados normalmente é uma abordagem muito mais realista.
Os pesquisadores recomendam desativar o AutoRun, aplicar políticas mais rígidas para dispositivos USB e monitorar atividades suspeitas envolvendo DLLs e técnicas de execução em memória. Essas continuam sendo recomendações válidas. Porém, a principal lição talvez seja ainda mais simples: os invasores continuam obtendo sucesso com métodos existentes há décadas porque as condições que tornam esses ataques possíveis ainda permanecem.
Vinte anos depois dos primeiros grandes vírus USB ganharem as manchetes, a fórmula permanece praticamente inalterada: encontrar um dispositivo USB gravável, copiar a carga maliciosa e esperar pela próxima conexão. A tecnologia evoluiu, os malwares ficaram mais sofisticados, mas o caminho do ataque continua sendo o mesmo.
Para organizações que ainda dependem de mídias removíveis, esta campanha é um lembrete de que controlar o que pode ser gravado em um dispositivo USB pode ser tão importante quanto controlar o que pode ser lido.
Fonte: Cyber Security News / Unit 42
Discussão no Reddit sobre segurança USB
Política Editorial e de Revisão Técnica
Este artigo foi pesquisado e escrito pela equipe editorial do GetUSB.info com base em relatórios públicos de pesquisadores de segurança cibernética e fontes do setor. Desde 2004, o GetUSB.info cobre tecnologias USB, mídias removíveis, armazenamento flash e segurança USB.
Sempre que possível, as fontes originais e os relatórios técnicos são analisados para verificar as informações apresentadas. As investigações de segurança podem evoluir conforme novos dados se tornam disponíveis. Organizações devem consultar profissionais qualificados ao definir políticas de segurança USB, mitigação de malware e proteção de dados.
O GetUSB.info mantém independência editorial e busca oferecer informações técnicas, contexto e análises voltadas para profissionais de TI, engenheiros e entusiastas de tecnologia.