Servidores batizados “uk1” e “uk2”: o que prepara este grupo iraniano na Europa

Um dos grupos de espionagem mais activos ligados ao Irão terá alargado a sua infraestrutura de comando e controlo a vários países europeus e do Médio Oriente, incluindo servidores alojados no Reino Unido com nomes tão explícitos como “uk1” e “uk2”. A conclusão consta de uma investigação divulgada a 26 de agosto de 2026 pela empresa de threat intelligence Group-IB, que identificou também novas amostras de malware associadas ao mesmo actor — um backdoor para Windows e um utilitário de túneis SSH inversos que permite atravessar defesas de rede a partir de dentro. O grupo é conhecido por vários nomes na indústria: Tortoiseshell, UNC1549, Nimbus Manticore, Subtle Snail ou Mirage Kitten.

O que os investigadores encontraram

A investigação partiu de indicadores já publicados e de trabalho de threat hunting sobre a infraestrutura conhecida do grupo. Num relatório divulgado na quarta-feira, os investigadores da Group-IB indicaram ter identificado servidores e domínios associados a vários países da Europa e do Médio Oriente, o que pode apontar para um perfil de alvos mais alargado. Em particular, a empresa encontrou dois servidores ligados ao Tortoiseshell, designados “uk1” e “uk2”, alojados em endereços IP britânicos.

Em declarações à Recorded Future News, os investigadores referiram ter identificado igualmente infraestrutura ligada ao grupo na Bélgica, na Arábia Saudita e nos Emirados Árabes Unidos. Importa sublinhar a cautela metodológica: a finalidade dessa infraestrutura continua por esclarecer e os nomes de servidores alusivos a países não bastam, por si só, para determinar quem estava a ser visado. Ainda assim, a Group-IB considera que a combinação de nova infraestrutura com novas ferramentas sugere que o grupo está a expandir tanto o alcance geográfico como as capacidades técnicas, tendo-o descrito como um dos grupos de ameaça persistente avançada iranianos mais activos em 2026.

Quanto ao malware, os investigadores encontraram novas amostras associadas ao grupo, incluindo um backdoor semelhante a uma ferramenta conhecida como TWOSTROKE, documentada por investigadores de threat intelligence da Google no final de 2025. Nessa altura, a Mandiant descreveu o TWOSTROKE como um implante leve para Windows escrito em C++, com suporte para execução de comandos, operações sobre ficheiros, captura de ecrã e vários métodos de persistência, a par de um segundo backdoor, o DEEPROOT, desenvolvido em Go e funcional em Linux e Windows, permitindo comandos de shell e transferência de ficheiros.

Túneis SSH inversos: o truque que contorna a firewall

A segunda ferramenta descrita é, do ponto de vista defensivo, a mais incómoda. Estes túneis criam uma ligação cifrada a partir de dentro de uma rede comprometida para um servidor do atacante, permitindo encaminhar tráfego de volta através da máquina infectada e alcançar outros sistemas internos, contornando protecções concebidas para bloquear ligações de entrada. Por outras palavras: como é a vítima que “liga para fora”, a firewall perimetral vê tráfego de saída aparentemente legítimo.

Não é uma novidade absoluta neste actor. A Mandiant já tinha observado o uso repetido de túneis SSH inversos a partir de máquinas das vítimas para a infraestrutura do grupo, uma técnica que ajudou a ocultar a actividade dos agentes de EDR instalados nesses sistemas, demonstrando um aumento da segurança operacional do UNC1549 no último ano. A tendência mantém-se em 2026: a Kaspersky documentou malware até então desconhecido atribuído ao mesmo grupo, incluindo o backdoor NightLedger e dois tuneladores personalizados baseados em WebSocket, ArcBridge e BridgeHead, para acesso encoberto e tunelamento controlado pelo operador.

Um grupo, muitos nomes — e uma cronologia longa

A confusão de designações é frequente nestes casos e dificulta a vida a quem tem de correlacionar avisos. O Tortoiseshell está activo pelo menos desde 2018 e conduziu sobretudo operações de espionagem contra organizações de defesa, aeroespacial, tecnologia e militares, em particular no Médio Oriente e nos Estados Unidos. A Prodaft, que segue o cluster como Subtle Snail, descreve-o como um grupo de espionagem de nexo iraniano ligado ao Unyielding Wasp (Tortoiseshell), integrado na rede Eclipsed Wasp (Charming Kitten), activo desde pelo menos junho de 2022 e recentemente virado para telecomunicações, aeroespacial e defesa na Europa. A atribuição aponta para afiliação à Guarda Revolucionária Islâmica do Irão (IRGC).

Como entram: recrutamento falso, fornecedores e VDI

O vector de entrada mais associado a este actor continua a ser a engenharia social com tema de emprego. Os operadores criam contas falsas de recursos humanos no LinkedIn e contactam alvos específicos com ofertas de emprego personalizadas, sendo que a fase inicial assenta em reconhecimento extenso, com perfilagem de administradores de sistemas, programadores e investigadores com acessos privilegiados.

Mas há um segundo caminho, mais silencioso, que interessa directamente às PME portuguesas que trabalham como fornecedoras de grandes grupos industriais. A Mandiant nota que comprometer terceiros é particularmente estratégico quando o alvo tem maturidade de segurança elevada, como acontece nas empresas de defesa: enquanto o alvo principal investe fortemente em defesas robustas, os seus parceiros podem ter posturas de segurança menos exigentes, o que oferece um caminho de menor resistência. O grupo combina spear-phishing altamente personalizado, roubo de credenciais em serviços de terceiros e abuso de infraestrutura de desktop virtual, como Citrix, VMware e Azure VDI, para obter acesso inicial e movimentar-se lateralmente. Em campanhas anteriores, tirou partido das vulnerabilidades CVE-2021-26855 e CVE-2020-0688, ambas no Microsoft Exchange.

Medidas de mitigação recomendadas

• Monitorizar a execução de clientes ssh ou plink a partir de processos Windows inesperados e ligações de saída persistentes em 443/TCP que não se comportem como tráfego web normal.
• Aplicar autenticação multifactor resistente a phishing em VPN, VDI e correio electrónico, sobretudo em contas de administração e de fornecedores.
• Rever e limitar os acessos concedidos a terceiros (fornecedores de TI, integradores, consultores), com contas nominais, expiração automática e registo de sessões.
• Vigiar DLL sideloading: bibliotecas com nomes de sistema colocadas junto de executáveis legítimos em pastas de utilizador merecem investigação, não presunção de legitimidade.
• Manter o Exchange e demais serviços expostos actualizados e verificar exposição às CVE historicamente abusadas pelo grupo.
• Sensibilizar equipas de engenharia e I&D para abordagens de recrutamento não solicitadas e para ficheiros enviados fora dos canais oficiais.

Porque é que isto importa em Portugal

Portugal não é um espectador distante deste dossiê. A campanha descrita pela Check Point visa fabrico de defesa, telecomunicações e aviação, alinhada com prioridades estratégicas da IRGC, com actividade recente concentrada na Europa Ocidental — designadamente Dinamarca, Suécia e Portugal — e recorrendo à personificação de organizações locais e globais destes sectores. Num país com clusters aeronáuticos, indústria de defesa, operadores de telecomunicações e uma densa malha de PME subcontratadas, o risco de servir de porta de entrada para um alvo maior é real.

Do ponto de vista legal, a espionagem industrial dirigida a cadeias de fornecimento cruza-se directamente com o novo Regime Jurídico da Ciberseguranca (Decreto-Lei n.º 125/2025, que transpõe a NIS2), que impõe às entidades abrangidas — incluindo sectores como transportes, infraestruturas digitais e fabrico — a gestão de riscos da cadeia de abastecimento, a adopção de autenticação multifactor e a notificação de incidentes significativos. O CNCS e o CERT.PT são o ponto de contacto nacional para reportar e para receber alertas técnicos; qualquer suspeita de comprometimento com componente de espionagem estatal deve ser comunicada. Se, no decurso de uma intrusão deste tipo, forem exfiltrados dados pessoais de trabalhadores ou clientes, aplica-se em paralelo o dever de notificação à CNPD previsto no RGPD, com o prazo de 72 horas.

Para gestores, a leitura útil é simples: grupos como este não procuram lucro imediato, procuram permanência. Um túnel esquecido numa estação de trabalho pode sobreviver meses a uma limpeza superficial — e é precisamente essa a intenção.

Perguntas frequentes

Quem é o grupo Tortoiseshell/UNC1549?

É um actor de espionagem de nexo iraniano, associado por vários investigadores à Guarda Revolucionária Islâmica, activo pelo menos desde 2018 e conhecido por atacar defesa, aeroespacial, aviação, telecomunicações e prestadores de serviços de TI. É seguido sob nomes como UNC1549, Nimbus Manticore, Subtle Snail, Smoke Sandstorm e Mirage Kitten.

O que significa a descoberta de servidores com nomes de países?

Indica preparação de infraestrutura, não necessariamente vítimas confirmadas. Os próprios investigadores alertam que os nomes dos servidores não bastam para determinar quem estava a ser visado, mas o padrão geográfico sugere ambição operacional alargada à Europa.

A minha PME pode ser alvo se não trabalha em defesa?

Pode, se for fornecedora, integradora ou parceira de uma organização destes sectores. A Mandiant documentou o uso de terceiros com defesas mais fracas como caminho de menor resistência até ao alvo final.

Que sinais técnicos devo procurar na minha rede?

Ligações SSH de saída iniciadas por processos Windows atípicos, sessões persistentes em 443/TCP sem comportamento web, bibliotecas com nomes de sistema em pastas não padronizadas e acessos VDI ou VPN fora do horário habitual a partir de contas de fornecedores.

Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente por Group-IB, Mandiant (Google Cloud), Check Point Research, Kaspersky, Prodaft e Fortinet.