🔥 Fique por dentro das novidades mais quentes do momento! 🔥
Leia, comente e fique sempre atualizado!
Apoie esse projeto de divulgacao de noticias! Clique aqui
Um ator de ameaça avançado está abusando do mecanismo de atualização do conjunto de produtos de rede privada ViPNet para atingir organizações russas, incluindo agências governamentais.
Chamada de HelloNet, a campanha está ativa pelo menos desde maio, implantando uma carga maliciosa que atua como proxy e carregador para malware adicional.
De acordo com os pesquisadores da Kaspersky, a HelloNet impactou organizações nos setores governamental, de energia, transporte, educação e logística.
Abuso de atualização ViPNet
ViPNet é uma família de produtos russos de segurança da informação desenvolvidos pela InfoTeCS, fornecendo VPN, proteção de endpoint e acesso à rede, firewall, gerenciamento de certificados, administração centralizada e mensagens seguras e transferência de arquivos.
A ferramenta é comumente usada na Rússia, onde é certificada pelas autoridades para uso no governo e em outros ambientes regulamentados.
Devido ao seu alcance de mercado na Rússia, especialmente entre organizações de alto valor, tem sido frequentemente alvo de hackers. Em abril de 2025, a Kaspersky relatou que os agentes de ameaças personificaram uma atualização do ViPNet nos ataques.
Na campanha mais recente, os invasores colocaram um arquivo malicioso (wtsapi32.dll, denominado HelloInjector) dentro do diretório local do ViPNet Update System para ser carregado na inicialização do sistema por meio do legítimo itcsrvup64.exe.
Esta DLL é o carregador de primeiro estágio que injeta no processo svchost.exe, concedendo privilégios elevados às cargas úteis do próximo estágio no Windows e persistência durante as reinicializações.
A Kaspersky não descreve exatamente como os invasores obtiveram acesso inicial para realizar essa alteração de arquivo, nem afirma que a própria infraestrutura de atualização do ViPNet foi comprometida.
Conjunto de ferramentas de malware
HelloInjector executa sua carga incorporada, que a Kaspersky chamou de HelloProxy, na memória e entra em contato com o servidor de comando e controle (C2) para receber módulos adicionais.
Um desses módulos é o HelloExecutor, um backdoor que pode executar comandos e realizar reconhecimento de rede no host.
Um segundo é o HelloCleaner, uma ferramenta que remove dados de log do ViPNet para ocultar atividades maliciosas.
Outro implante chamado HelloBackdoor é baseado em Rust e suporta upload e download de arquivos, bem como execução de comandos.
A Kaspersky atribuiu provisoriamente a campanha a um grupo não identificado de ameaças persistentes avançadas (APT) de língua chinesa.
No entanto, os pesquisadores enfatizaram que a evidência é fraca, baseando-se principalmente em uma string não utilizada que faz referência ao site chinês sina.com e em um espelho de download de malware hospedado pela Universidade de Ciência e Tecnologia da China.
Como resultado, atribuem baixa confiança à atribuição e não descartam a possibilidade de uma operação de bandeira falsa.
A empresa de segurança cibernética recomenda monitoramento completo dos sistemas que executam o software ViPNet, especialmente o tráfego que passa pelas portas 5003, 5060 (HelloProxy) e 443 (HelloBackdoor).
Teste todas as camadas antes que os invasores o façam
As equipes de segurança registram 54% dos ataques bem-sucedidos e alertam sobre apenas 14%. O restante se move pelo seu ambiente sem ser visto. O whitepaper do Picus mostra como a simulação de violação e ataque testa suas regras de SIEM e EDR para que as ameaças parem de escapar da detecção.
Obtenha o whitepaper
Chamada de HelloNet, a campanha está ativa pelo menos desde maio, implantando uma carga maliciosa que atua como proxy e carregador para malware adicional.
De acordo com os pesquisadores da Kaspersky, a HelloNet impactou organizações nos setores governamental, de energia, transporte, educação e logística.
Abuso de atualização ViPNet
ViPNet é uma família de produtos russos de segurança da informação desenvolvidos pela InfoTeCS, fornecendo VPN, proteção de endpoint e acesso à rede, firewall, gerenciamento de certificados, administração centralizada e mensagens seguras e transferência de arquivos.
A ferramenta é comumente usada na Rússia, onde é certificada pelas autoridades para uso no governo e em outros ambientes regulamentados.
Devido ao seu alcance de mercado na Rússia, especialmente entre organizações de alto valor, tem sido frequentemente alvo de hackers. Em abril de 2025, a Kaspersky relatou que os agentes de ameaças personificaram uma atualização do ViPNet nos ataques.
Na campanha mais recente, os invasores colocaram um arquivo malicioso (wtsapi32.dll, denominado HelloInjector) dentro do diretório local do ViPNet Update System para ser carregado na inicialização do sistema por meio do legítimo itcsrvup64.exe.
Esta DLL é o carregador de primeiro estágio que injeta no processo svchost.exe, concedendo privilégios elevados às cargas úteis do próximo estágio no Windows e persistência durante as reinicializações.
A Kaspersky não descreve exatamente como os invasores obtiveram acesso inicial para realizar essa alteração de arquivo, nem afirma que a própria infraestrutura de atualização do ViPNet foi comprometida.
Conjunto de ferramentas de malware
HelloInjector executa sua carga incorporada, que a Kaspersky chamou de HelloProxy, na memória e entra em contato com o servidor de comando e controle (C2) para receber módulos adicionais.
Um desses módulos é o HelloExecutor, um backdoor que pode executar comandos e realizar reconhecimento de rede no host.
Um segundo é o HelloCleaner, uma ferramenta que remove dados de log do ViPNet para ocultar atividades maliciosas.
Outro implante chamado HelloBackdoor é baseado em Rust e suporta upload e download de arquivos, bem como execução de comandos.
A Kaspersky atribuiu provisoriamente a campanha a um grupo não identificado de ameaças persistentes avançadas (APT) de língua chinesa.
No entanto, os pesquisadores enfatizaram que a evidência é fraca, baseando-se principalmente em uma string não utilizada que faz referência ao site chinês sina.com e em um espelho de download de malware hospedado pela Universidade de Ciência e Tecnologia da China.
Como resultado, atribuem baixa confiança à atribuição e não descartam a possibilidade de uma operação de bandeira falsa.
A empresa de segurança cibernética recomenda monitoramento completo dos sistemas que executam o software ViPNet, especialmente o tráfego que passa pelas portas 5003, 5060 (HelloProxy) e 443 (HelloBackdoor).
Teste todas as camadas antes que os invasores o façam
As equipes de segurança registram 54% dos ataques bem-sucedidos e alertam sobre apenas 14%. O restante se move pelo seu ambiente sem ser visto. O whitepaper do Picus mostra como a simulação de violação e ataque testa suas regras de SIEM e EDR para que as ameaças parem de escapar da detecção.
Obtenha o whitepaper
#samirnews #samir #news #boletimtec #hackers #abusam #do #software #vipnet #para #atingir #agências #governamentais #russas
🚀 Mais conteúdos incríveis estão por vir, fique atento!
Postar um comentário