📰 Informação fresquinha chegando para você!
Confira agora e compartilhe com seus amigos!
Apoie esse projeto de divulgacao de noticias! Clique aqui
O grupo de hackers apoiado pelo Estado iraniano rastreado como Nimbus Manticore (também conhecido como GalaxyGato, Mirage Kitten, Smoke Sandstorm, Subtle Snail e UNC1549) foi atribuído a um novo conjunto de ataques direcionados a entidades em todo o Oriente Médio, África e Sul da Ásia.
As invasões envolvem o uso de um backdoor do Windows anteriormente não documentado chamado NightLedger e dois tuneladores WebSocket personalizados, BridgeHead e ArcBridge, com o objetivo de manter o acesso secreto.
Os alvos da campanha incluem o Egito, pequenas e médias empresas e ambientes governamentais na Jordânia e na Tanzânia, organizações de aviação no Paquistão, empresas de telecomunicações na Etiópia e entidades do setor financeiro em Burkina Faso, de acordo com a Kaspersky.
“O conjunto de ferramentas inclui NightLedger, um novo backdoor do Windows para reconhecimento, execução de comandos, operações de arquivos, descoberta de processos e captura de tela; e dois tuneladores personalizados baseados em WebSocket, ArcBridge e BridgeHead, para acesso secreto à rede e tunelamento controlado pelo operador”, disseram os pesquisadores da Kaspersky, Omar Amin e Vasily Berdnikov.
O método exato de acesso inicial usado nos ataques é atualmente desconhecido, embora o adversário seja conhecido por empregar iscas de phishing altamente personalizadas com temas de oportunidades de trabalho, disfarçadas de marcas confiáveis e plataformas de contratação, bem como páginas de videoconferência semelhantes, para redirecionar os destinatários para arquivos maliciosos hospedados em serviços de compartilhamento de arquivos de terceiros.
A rota de acesso ainda indeterminada é então abusada para entregar cargas maliciosas, incluindo NightLedger, que é lançado como uma DLL por meio de carregamento lateral de DLL. O malware foi projetado para entrar em contato com um servidor externo por HTTPS para analisar e executar comandos de maneira análoga ao TWOSTROKE, outro backdoor implantado pelo agente da ameaça no passado. A lista de comandos suportados está abaixo -
Reúna informações de identidade do usuário e do host
Executar um processo/programa
Listar diretórios
Baixe um arquivo para o sistema infectado
Colete informações de host e rede
Copie ou exclua arquivos
Intervalo de atualização do beacon
Faça uma captura de tela
Carregar uma DLL
Encerrar um processo ou thread
Carregar arquivo para o servidor de comando e controle (C2) por meio de uma solicitação HTTP POST
Enumerar unidades lógicas
Listar processos
Colete C:\Windows\debug\NetSetup.log (um arquivo de diagnóstico usado para solucionar problemas de ingresso no domínio) junto com a saída da lista de processos
Duas outras famílias de malware entregues como parte dos ataques são BridgeHead ("unbcl.dll"), um proxy de túnel SOCKS5 observado em ambientes no Egito e no Paquistão que compartilha algum nível de sobreposições funcionais com MiniFast (também conhecido como MiniUpdate e Retrograde), e ArcBridge, outra ferramenta de tunelamento WebSocket observada em abril de 2026 em atividades direcionadas a vítimas no Oriente Médio.
“O servidor C2 inicia todas as conexões de túnel enviando comandos binários pelo WebSocket; o implante simplesmente encaminha o tráfego entre os alvos especificados pelo servidor e o canal WebSocket”, disseram os pesquisadores sobre o BridgeHead. "Isso o torna um nó de retransmissão: o operador executa ferramentas no lado do servidor, e todo o tráfego TCP resultante é encapsulado através da máquina da vítima como se fosse originário da rede da vítima."
O uso de BridgeHead e ArcBridge indica o uso contínuo de utilitários de tunelamento pelo agente da ameaça, o que foi observado anteriormente com base em tuneladores personalizados, como LIGHTRAIL e POLLBLEND.
A divulgação ocorre dias depois que o Grupo-IB descobriu uma nova amostra de malware com o codinome HOLLOWGRAPH que está ligada à estrutura Cavern (também conhecida como Cav3rn) usada por uma equipe de hackers iraniana chamada Cavern Manticore.
“HOLLOWGRAPH abusa da API Microsoft Graph para transformar um calendário comprometido do Microsoft 365 em um canal secreto de comando e controle bidirecional”, disse.
"Usando a API Microsoft Graph, ele trata o calendário da caixa de correio comprometida como um dead-drop bidirecional: os operadores plantam tarefas como eventos de calendário, e o implante exfiltra arquivos roubados criando seus próprios eventos com dados criptografados anexados. Para evitar chamar a atenção do proprietário da caixa de correio, cada evento é datado em um futuro distante - 13 de maio de 2050 - com cargas úteis anexadas como arquivos ao evento."
As invasões envolvem o uso de um backdoor do Windows anteriormente não documentado chamado NightLedger e dois tuneladores WebSocket personalizados, BridgeHead e ArcBridge, com o objetivo de manter o acesso secreto.
Os alvos da campanha incluem o Egito, pequenas e médias empresas e ambientes governamentais na Jordânia e na Tanzânia, organizações de aviação no Paquistão, empresas de telecomunicações na Etiópia e entidades do setor financeiro em Burkina Faso, de acordo com a Kaspersky.
“O conjunto de ferramentas inclui NightLedger, um novo backdoor do Windows para reconhecimento, execução de comandos, operações de arquivos, descoberta de processos e captura de tela; e dois tuneladores personalizados baseados em WebSocket, ArcBridge e BridgeHead, para acesso secreto à rede e tunelamento controlado pelo operador”, disseram os pesquisadores da Kaspersky, Omar Amin e Vasily Berdnikov.
O método exato de acesso inicial usado nos ataques é atualmente desconhecido, embora o adversário seja conhecido por empregar iscas de phishing altamente personalizadas com temas de oportunidades de trabalho, disfarçadas de marcas confiáveis e plataformas de contratação, bem como páginas de videoconferência semelhantes, para redirecionar os destinatários para arquivos maliciosos hospedados em serviços de compartilhamento de arquivos de terceiros.
A rota de acesso ainda indeterminada é então abusada para entregar cargas maliciosas, incluindo NightLedger, que é lançado como uma DLL por meio de carregamento lateral de DLL. O malware foi projetado para entrar em contato com um servidor externo por HTTPS para analisar e executar comandos de maneira análoga ao TWOSTROKE, outro backdoor implantado pelo agente da ameaça no passado. A lista de comandos suportados está abaixo -
Reúna informações de identidade do usuário e do host
Executar um processo/programa
Listar diretórios
Baixe um arquivo para o sistema infectado
Colete informações de host e rede
Copie ou exclua arquivos
Intervalo de atualização do beacon
Faça uma captura de tela
Carregar uma DLL
Encerrar um processo ou thread
Carregar arquivo para o servidor de comando e controle (C2) por meio de uma solicitação HTTP POST
Enumerar unidades lógicas
Listar processos
Colete C:\Windows\debug\NetSetup.log (um arquivo de diagnóstico usado para solucionar problemas de ingresso no domínio) junto com a saída da lista de processos
Duas outras famílias de malware entregues como parte dos ataques são BridgeHead ("unbcl.dll"), um proxy de túnel SOCKS5 observado em ambientes no Egito e no Paquistão que compartilha algum nível de sobreposições funcionais com MiniFast (também conhecido como MiniUpdate e Retrograde), e ArcBridge, outra ferramenta de tunelamento WebSocket observada em abril de 2026 em atividades direcionadas a vítimas no Oriente Médio.
“O servidor C2 inicia todas as conexões de túnel enviando comandos binários pelo WebSocket; o implante simplesmente encaminha o tráfego entre os alvos especificados pelo servidor e o canal WebSocket”, disseram os pesquisadores sobre o BridgeHead. "Isso o torna um nó de retransmissão: o operador executa ferramentas no lado do servidor, e todo o tráfego TCP resultante é encapsulado através da máquina da vítima como se fosse originário da rede da vítima."
O uso de BridgeHead e ArcBridge indica o uso contínuo de utilitários de tunelamento pelo agente da ameaça, o que foi observado anteriormente com base em tuneladores personalizados, como LIGHTRAIL e POLLBLEND.
A divulgação ocorre dias depois que o Grupo-IB descobriu uma nova amostra de malware com o codinome HOLLOWGRAPH que está ligada à estrutura Cavern (também conhecida como Cav3rn) usada por uma equipe de hackers iraniana chamada Cavern Manticore.
“HOLLOWGRAPH abusa da API Microsoft Graph para transformar um calendário comprometido do Microsoft 365 em um canal secreto de comando e controle bidirecional”, disse.
"Usando a API Microsoft Graph, ele trata o calendário da caixa de correio comprometida como um dead-drop bidirecional: os operadores plantam tarefas como eventos de calendário, e o implante exfiltra arquivos roubados criando seus próprios eventos com dados criptografados anexados. Para evitar chamar a atenção do proprietário da caixa de correio, cada evento é datado em um futuro distante - 13 de maio de 2050 - com cargas úteis anexadas como arquivos ao evento."
Fonte: https://thehackernews.com
#samirnews #samir #news #boletimtec #nimbus #manticore #implanta #nightledger #e #transforma #sistemas #de #vítimas #em #relés #secretos
⚡ Fique ligado: novidades e promoções em breve por aqui! ⚡
Postar um comentário