🌟 Atualização imperdível para quem gosta de estar bem informado!
Leia, comente e fique sempre atualizado!
Apoie esse projeto de divulgacao de noticias! Clique aqui
Suspeita-se que um ator ameaçador de língua chinesa esteja por trás de uma nova onda de ataques cibernéticos contra organizações governamentais localizadas principalmente na Ásia Central, incluindo Afeganistão, Quirguistão, Tadjiquistão, Uzbequistão, Cazaquistão e a República Árabe Síria, desde janeiro de 2025.
Estas organizações-alvo operam em vários setores, como cuidados de saúde, investigação, gabinetes governamentais, ministérios dos Negócios Estrangeiros, logística, agências de aplicação da lei, planeamento urbano e gestão de instalações, e estabelecimentos de ensino públicos, segundo a Kaspersky. A atividade não está ligada a nenhum adversário ou grupo conhecido.
Os ataques são caracterizados pelo uso de dois novos backdoors ofuscados que a empresa russa de segurança cibernética está rastreando, como OctLurk e SilkLurk, bem como um utilitário especializado de codinome LurkProxy para proxy do tráfego de rede.
“OctLurk e SilkLurk podem baixar e injetar plug-ins adicionais para realizar outras ações maliciosas, incluindo iniciar shells de comando, realizar atividades do sistema de arquivos, sintetizar eventos de teclado e mouse, verificação de rede, despejo de credenciais, keylogging, roubo de senhas de navegadores, coleta de e-mail e acesso remoto”, disseram os pesquisadores Saurabh Sharma e Yaroslav Kikel.
O vetor de acesso inicial usado nesses ataques é atualmente desconhecido. No entanto, a análise da Kaspersky descobriu que o OctLurk é injetado na memória e implantado por meio de um carregador, com os invasores também verificando a conectividade da Internet com o domínio “dns.ssentialserv[.]xyz” antes de executar um script em lote responsável por iniciar o LurkProxy. A ferramenta então estabelece contato com um servidor remoto (“154.196.162[.]76”) para comando e controle (C2).
Uma vez executado, o OctoLurk primeiro coleta informações do sistema, criptografa-as e as envia para um servidor C2 codificado ("dns.multitoconference[.]com") por meio de uma conexão de soquete de fluxo. Ele está equipado para carregar plug-ins recebidos do servidor diretamente na memória para permitir a execução de comandos, operações de arquivos, coleta e modificação de conteúdo da área de transferência, captura de tela e movimentos do mouse.
Descobriu-se que os agentes da ameaça aproveitam o plug-in do shell de comando do backdoor para executar a seguinte série de ações -
Imprima a impressão digital do host e colete dados extensos sobre o sistema comprometido.
Execute comandos para exportar eventos de logon bem-sucedidos para logons interativos remotos e para consultar esses eventos para usuários específicos.
Colete hashes de senha de controladores de domínio usando a ferramenta “secretsdump.py” do Impacket.
Solte e execute um keylogger que se disfarça como AnyDesk para evitar a detecção.
Descriptografe e extraia senhas do Google Chrome e Mozilla Firefox.
Estabeleça acesso remoto à máquina vítima usando o agente Pandora RC.
Faça a varredura de redes internas e públicas usando o Fscan para identificar serviços em execução em portas específicas, como Secure Shell (SSH) na porta 22 e MySQL na porta 3306 e, em seguida, tente acessar esses serviços usando credenciais de um arquivo de senha chamado "pp.txt".
Conecte-se a um servidor de e-mail, autentique-se com nome de usuário e senha e emita comandos para coletar ou manipular e-mails.
O LurkProxy, por sua vez, pode funcionar como proxy reverso em dois modos distintos, seja como proxy SOCKS5 ou como proxy transparente. A qualquer momento, o malware pode operar em apenas um modo para rotear o tráfego de rede através de um endereço de destino.
A terceira ferramenta no arsenal do agente da ameaça é o SilkLurk, que é iniciado por meio de uma DLL que, por sua vez, é executada usando uma sequência de carregamento lateral de DLL. O backdoor então cria um soquete TCP e se conecta a um servidor C2 especificado em sua configuração, coletando informações da vítima e transmitindo-as ao servidor.
Em resposta, o servidor envia um comando que será executado no endpoint infectado. Isso pode envolver obter a hora local do sistema, definir um intervalo de suspensão que determine a frequência com que o backdoor pesquisa o servidor C2, enviar ou atualizar a configuração do backdoor e receber e injetar plug-ins adicionais na memória.
A atividade pós-comprometimento vinculada ao SilkLurk está abaixo -
Invoque “cmd.exe” para iniciar o PowerShell e executar comandos para conectar-se a recursos de rede compartilhados com credenciais administrativas, pesquisar e preparar documentos confidenciais, desconectar-se dos compartilhamentos de rede e usar ferramentas de arquivamento legítimas como WinRAR e 7-Zip para arquivar os dados roubados.
Execute “cmd.exe” para iniciar uma cadeia de carregamento lateral de DLL para descartar o PlugX, um backdoor conhecido usado por grupos de hackers chineses.
A Kaspersky disse que encontrou sobreposições de infraestrutura entre a campanha e um conjunto anterior de ataques envolvendo um implante baseado em C++ de codinome SilentRaid (também conhecido como MystRodX e TrustFall).
“Essa sobreposição aponta para uma infraestrutura compartilhada entre várias campanhas direcionadas ao sistema operacional, embora ainda não esteja claro se essas atividades foram executadas simultaneamente ou em momentos diferentes”,
Estas organizações-alvo operam em vários setores, como cuidados de saúde, investigação, gabinetes governamentais, ministérios dos Negócios Estrangeiros, logística, agências de aplicação da lei, planeamento urbano e gestão de instalações, e estabelecimentos de ensino públicos, segundo a Kaspersky. A atividade não está ligada a nenhum adversário ou grupo conhecido.
Os ataques são caracterizados pelo uso de dois novos backdoors ofuscados que a empresa russa de segurança cibernética está rastreando, como OctLurk e SilkLurk, bem como um utilitário especializado de codinome LurkProxy para proxy do tráfego de rede.
“OctLurk e SilkLurk podem baixar e injetar plug-ins adicionais para realizar outras ações maliciosas, incluindo iniciar shells de comando, realizar atividades do sistema de arquivos, sintetizar eventos de teclado e mouse, verificação de rede, despejo de credenciais, keylogging, roubo de senhas de navegadores, coleta de e-mail e acesso remoto”, disseram os pesquisadores Saurabh Sharma e Yaroslav Kikel.
O vetor de acesso inicial usado nesses ataques é atualmente desconhecido. No entanto, a análise da Kaspersky descobriu que o OctLurk é injetado na memória e implantado por meio de um carregador, com os invasores também verificando a conectividade da Internet com o domínio “dns.ssentialserv[.]xyz” antes de executar um script em lote responsável por iniciar o LurkProxy. A ferramenta então estabelece contato com um servidor remoto (“154.196.162[.]76”) para comando e controle (C2).
Uma vez executado, o OctoLurk primeiro coleta informações do sistema, criptografa-as e as envia para um servidor C2 codificado ("dns.multitoconference[.]com") por meio de uma conexão de soquete de fluxo. Ele está equipado para carregar plug-ins recebidos do servidor diretamente na memória para permitir a execução de comandos, operações de arquivos, coleta e modificação de conteúdo da área de transferência, captura de tela e movimentos do mouse.
Descobriu-se que os agentes da ameaça aproveitam o plug-in do shell de comando do backdoor para executar a seguinte série de ações -
Imprima a impressão digital do host e colete dados extensos sobre o sistema comprometido.
Execute comandos para exportar eventos de logon bem-sucedidos para logons interativos remotos e para consultar esses eventos para usuários específicos.
Colete hashes de senha de controladores de domínio usando a ferramenta “secretsdump.py” do Impacket.
Solte e execute um keylogger que se disfarça como AnyDesk para evitar a detecção.
Descriptografe e extraia senhas do Google Chrome e Mozilla Firefox.
Estabeleça acesso remoto à máquina vítima usando o agente Pandora RC.
Faça a varredura de redes internas e públicas usando o Fscan para identificar serviços em execução em portas específicas, como Secure Shell (SSH) na porta 22 e MySQL na porta 3306 e, em seguida, tente acessar esses serviços usando credenciais de um arquivo de senha chamado "pp.txt".
Conecte-se a um servidor de e-mail, autentique-se com nome de usuário e senha e emita comandos para coletar ou manipular e-mails.
O LurkProxy, por sua vez, pode funcionar como proxy reverso em dois modos distintos, seja como proxy SOCKS5 ou como proxy transparente. A qualquer momento, o malware pode operar em apenas um modo para rotear o tráfego de rede através de um endereço de destino.
A terceira ferramenta no arsenal do agente da ameaça é o SilkLurk, que é iniciado por meio de uma DLL que, por sua vez, é executada usando uma sequência de carregamento lateral de DLL. O backdoor então cria um soquete TCP e se conecta a um servidor C2 especificado em sua configuração, coletando informações da vítima e transmitindo-as ao servidor.
Em resposta, o servidor envia um comando que será executado no endpoint infectado. Isso pode envolver obter a hora local do sistema, definir um intervalo de suspensão que determine a frequência com que o backdoor pesquisa o servidor C2, enviar ou atualizar a configuração do backdoor e receber e injetar plug-ins adicionais na memória.
A atividade pós-comprometimento vinculada ao SilkLurk está abaixo -
Invoque “cmd.exe” para iniciar o PowerShell e executar comandos para conectar-se a recursos de rede compartilhados com credenciais administrativas, pesquisar e preparar documentos confidenciais, desconectar-se dos compartilhamentos de rede e usar ferramentas de arquivamento legítimas como WinRAR e 7-Zip para arquivar os dados roubados.
Execute “cmd.exe” para iniciar uma cadeia de carregamento lateral de DLL para descartar o PlugX, um backdoor conhecido usado por grupos de hackers chineses.
A Kaspersky disse que encontrou sobreposições de infraestrutura entre a campanha e um conjunto anterior de ataques envolvendo um implante baseado em C++ de codinome SilentRaid (também conhecido como MystRodX e TrustFall).
“Essa sobreposição aponta para uma infraestrutura compartilhada entre várias campanhas direcionadas ao sistema operacional, embora ainda não esteja claro se essas atividades foram executadas simultaneamente ou em momentos diferentes”,
Fonte: https://thehackernews.com
#samirnews #samir #news #boletimtec #supostos #hackers #de #língua #chinesa #têm #como #alvo #governos #da #ásia #central #com #octlurk #e #silklurk
🚀 Mais conteúdos incríveis estão por vir, fique atento!
Postar um comentário