Pesquisadores descobrem nova campanha global de espionagem virtual

Pesquisadores de segurança identificaram uma campanha de espionagem virtual que comprometeu 59 computadores pertencentes a organizações governamentais, institutos de pesquisa, think tanks e empresas privadas de 23 países da região. passado 10 dias

A campanha de ataque foi descoberta e analisada por pesquisadores da firma de segurança Kaspersky Lab e do Laboratório de Criptografia e Segurança de Sistemas (CrySyS) da Universidade de Tecnologia e Economia de Budapeste.

Apelidada MiniDuke, a campanha de ataque usou mensagens de e-mail direcionadas - uma técnica conhecida como spear phishing - que carregava arquivos PDF maliciosos manipulados com um rechen Explorada com tilt patch para o Adobe Reader 9, 10 e 11.

[Leia mais: Como remover malware do seu PC Windows]

A exploração foi originalmente descoberta em ataques ativos no início deste mês por pesquisadores de segurança da FireEye e é capaz de evitar a proteção do sandbox no Adobe Reader 10 e 11. A Adobe lançou patches de segurança para as vulnerabilidades visadas pela exploração em 20 de fevereiro.

Os novos ataques MiniDuke usam o mesmo exploit identificado pela FireEye, mas com algumas modificações avançadas, Costin Raiu, diretor da equipe global de pesquisa e análise da Kaspersky Lab, na quarta-feira. Isso poderia sugerir que os invasores tivessem acesso ao kit de ferramentas usado para criar a exploração original.

Os arquivos PDF maliciosos são cópias desonestos de relatórios com conteúdo relevante para as organizações-alvo e incluem um relatório sobre o encontro informal Ásia-Europa. (ASEM) seminário sobre direitos humanos, um relatório sobre o plano de acção da Ucrânia para a OTAN, um relatório sobre a política externa da Ucrânia e um relatório sobre a Associação Económica Arménia de 2013.

Se a exploração for bem sucedida, os arquivos PDF instalar um malware criptografado com informações coletadas do sistema afetado. Essa técnica de criptografia também foi usada no malware de espionagem eletrônica Gauss e impede que o malware seja analisado em um sistema diferente, disse Raiu. Se executado em um computador diferente, o malware será executado, mas não iniciará sua funcionalidade maliciosa, disse ele.

Outro aspecto interessante dessa ameaça é que ela tem apenas 20 KB e foi escrita em Assembler, um método que raramente é usado hoje pelos criadores de malware. Seu tamanho pequeno também é incomum quando comparado ao tamanho do malware moderno, disse Raiu. Isso sugere que os programadores eram "antiquados", disse ele.

O malware instalado durante esse primeiro estágio do ataque conecta-se a contas específicas do Twitter que contêm comandos criptografados que apontam para quatro sites que atuam como comandos-e- servidores de controle. Esses sites, que estão hospedados nos EUA, Alemanha, França e Suíça, hospedam arquivos GIF criptografados que contêm um segundo programa backdoor

O segundo backdoor é uma atualização para o primeiro e se conecta de volta aos servidores de comando e controle para baixar ainda outro programa backdoor que é projetado exclusivamente para cada vítima. A partir de quarta-feira, os servidores de comando e controle hospedavam cinco diferentes programas backdoor para cinco vítimas únicas em Portugal, Ucrânia, Alemanha e Bélgica, disse Raiu. Esses programas backdoor únicos conectam-se a diferentes servidores de comando e controle no Panamá ou na Turquia., e eles permitem que os invasores executem comandos nos sistemas infectados.

As pessoas por trás da campanha de espionagem eletrônica MiniDuke operam desde pelo menos abril de 2012, quando uma das contas especiais do Twitter foi criada, disse Raiu. No entanto, é possível que a atividade deles tenha sido mais sutil até recentemente, quando eles decidiram aproveitar a nova exploração do Adobe Reader para comprometer o maior número possível de organizações antes que as vulnerabilidades fossem corrigidas, disse ele.O malware usado nos novos ataques é único e não foi visto antes, então o grupo pode ter usado malwares diferentes no passado, disse Raiu. A julgar pela ampla gama de alvos e pela natureza global dos ataques, os atacantes provavelmente têm uma grande agenda, disse ele.

As vítimas do MiniDuke incluem organizações da Bélgica, Brasil, Bulgária, República Tcheca, Geórgia, Alemanha, Hungria, Irlanda. Israel, Japão, Letônia, Líbano, Lituânia, Montenegro, Portugal, Romênia, Rússia, Eslovênia, Espanha, Turquia, Ucrânia, Reino Unido e Estados Unidos.

Nos Estados Unidos, um instituto de pesquisa, dois pró-EUA Think tanks e uma empresa de saúde foram afetados por este ataque, disse Raiu sem nomear nenhuma das vítimas.

O ataque não é tão sofisticado quanto o Flame ou o Stuxnet, mas é de alto nível, disse Raiu. Não há indicações sobre onde os invasores podem operar ou que interesses eles possam estar atendendo.

Dito isso, o estilo de codificação backdoor é remanescente de um grupo de criadores de malware conhecido como 29A, supostamente extinto desde 2008. Há um A assinatura "666" no código e 29A é a representação hexadecimal de 666, disse Raiu.

Um valor "666" também foi encontrado no malware usado nos ataques anteriores analisados ​​pela FireEye, mas essa ameaça era diferente da do MiniDuke, Raiu disse. A questão de saber se os dois ataques estão relacionados permanece em aberto. As notícias desta campanha de espionagem eletrônica vêm na esteira de discussões renovadas sobre a ameaça chinesa de espionagem cibernética, particularmente nos EUA, que foram motivadas por um recente relatório da empresa de segurança Mandiant. O relatório contém detalhes sobre os anos de atividade de um grupo de ciberatautas apelidado de Comando de Comentários que a Mandiant acredita ser uma cibernética secreta do Exército Chinês. O governo chinês rejeitou as alegações, mas o relatório foi amplamente divulgado na mídia.

Raiu disse que nenhuma das vítimas do MiniDuke identificadas até agora era da China, mas não quis especular sobre o significado desse fato. Na semana passada, pesquisadores de segurança de outras empresas identificaram ataques direcionados que distribuíram o mesmo exploit em PDF disfarçado de cópias do relatório da Mandiant.

Esses ataques instalaram malwares que eram claramente de origem chinesa, disse Raiu. No entanto, a maneira em que a exploração foi usada nesses ataques foi muito bruta e o malware não foi sofisticado quando comparado ao MiniDuke, disse ele.