🚨 NOVA NOTÍCIA EM DESTAQUE! 🚨
A notícia que você procurava está aqui!
Apoie esse projeto de divulgacao de noticias! Clique aqui
Pesquisadores de segurança cibernética sinalizaram novas atividades cibernéticas maliciosas por parte de um ator de ameaça com ligações ao Leste Asiático, visando entidades governamentais no Oriente Médio.
As invasões resultaram na implantação de famílias de malware anteriormente não relatadas, denominadas TELESHIM, MIXEDKEY e BINDCLOAK, de acordo com o Zscaler ThreatLabz. A empresa de segurança cibernética disse que detectou a campanha no início deste mês.
“A campanha usou uma cadeia de ataque em vários estágios para estabelecer e manter o acesso aos sistemas infectados, com o TELESHIM abusando da API do Telegram para comunicação de comando e controle (C2) para se misturar ao tráfego legítimo da Internet”, disse Sudeep Singh, gerente sênior de pesquisa APT no Zscaler ThreatLabz, em um artigo técnico publicado na semana passada.
A cadeia de ataque começa com um arquivo ISO contendo um executável legítimo (“RegSchdTask.exe”) que é usado para carregar uma DLL nociva (“AsTaskSched.dll”), um backdoor do Windows de 32 bits chamado TELESHIM que então aproveita o Telegram como C2 para recuperar componentes do próximo estágio.
Duas dessas cargas úteis são usadas para acionar uma segunda cadeia de carregamento lateral de DLL que compreende "GoProAlertService.exe" e "pthreadVC2.dll", com o último atuando como um carregador reflexivo de codinome MIXEDKEY para descriptografar o conteúdo de "C99F29AC08454855B3D538960BB2F34F.PCPKEY" e executá-lo.
Descobriu-se que tanto o TELESHIM quanto o MIXEDKEY dependem de técnicas pesadas de ofuscação de código, incluindo criptografia de string, nivelamento de fluxo de controle (CFF), aritmética booleana mista (MBA) e predicados opacos para impedir esforços de engenharia reversa. A TELESHIM também emprega uma série de métodos para detectar a presença de ambientes de análise baseados em virtualização. Alguns deles estão listados abaixo -
Detecção de hipervisor usando CPUID
Verificação da velocidade da RAM usando o Windows Management Instrumentation (WMI)
As comunicações TELESHIM C2 suportam dois tipos de mensagens -
Mensagens de controle, que são usadas para registrar o host infectado enviando o endereço MAC do host e executando comandos recebidos e exfiltrando os resultados de volta ao servidor em pedaços se a saída for maior que 1.000 bytes
Baixar e executar mensagens, que são usadas para baixar e executar cargas secundárias como tarefas agendadas
O que é notável sobre a carga final é que ela está bloqueada por duas camadas de criptografia XOR, a segunda camada usando uma técnica chamada chave ambiental, criptografando-a por meio de uma chave de descriptografia derivada do número de série do volume da máquina infectada. Isso é feito para que o malware seja detonado apenas nos alvos pretendidos.
A sequência de ataque culmina com a implantação do BINDCLOAK, um implante C2 de 64 bits escrito em C++ que contata um servidor externo ("cert.hypersnet[.]com").
ThreatLabz observou que identificou atividades pós-comprometimento do operador C2, como comandos de reconhecimento de sistema, usuário e rede, bem como a entrega de cargas úteis de próximo estágio, a maioria das quais ocorreu entre 7 de julho de 2026 e 9 de julho de 2026. Os comandos C2 foram executados apenas entre 4h e 12h. UTC, com grande parte da atividade ocorrendo entre 7h e 11h UTC.
Com base no endereço IP público do agente da ameaça, na localidade do sistema configurada no servidor Windows, na geolocalização do endereço IP e no horário operacional ativo, é avaliado com confiança moderada a alta que a campanha é obra de um adversário originário do Leste Asiático. Não foi atribuído a nenhum ator ou grupo de ameaça conhecido nesta fase.
“A atividade também reflete tendências mais amplas, como a evasão de EDR, misturando-se com o tráfego legítimo da Internet através do abuso de plataformas confiáveis, e o uso de técnicas de ofuscação de código, como MBA e CFF, para impedir a engenharia reversa”, disse Singh.
As invasões resultaram na implantação de famílias de malware anteriormente não relatadas, denominadas TELESHIM, MIXEDKEY e BINDCLOAK, de acordo com o Zscaler ThreatLabz. A empresa de segurança cibernética disse que detectou a campanha no início deste mês.
“A campanha usou uma cadeia de ataque em vários estágios para estabelecer e manter o acesso aos sistemas infectados, com o TELESHIM abusando da API do Telegram para comunicação de comando e controle (C2) para se misturar ao tráfego legítimo da Internet”, disse Sudeep Singh, gerente sênior de pesquisa APT no Zscaler ThreatLabz, em um artigo técnico publicado na semana passada.
A cadeia de ataque começa com um arquivo ISO contendo um executável legítimo (“RegSchdTask.exe”) que é usado para carregar uma DLL nociva (“AsTaskSched.dll”), um backdoor do Windows de 32 bits chamado TELESHIM que então aproveita o Telegram como C2 para recuperar componentes do próximo estágio.
Duas dessas cargas úteis são usadas para acionar uma segunda cadeia de carregamento lateral de DLL que compreende "GoProAlertService.exe" e "pthreadVC2.dll", com o último atuando como um carregador reflexivo de codinome MIXEDKEY para descriptografar o conteúdo de "C99F29AC08454855B3D538960BB2F34F.PCPKEY" e executá-lo.
Descobriu-se que tanto o TELESHIM quanto o MIXEDKEY dependem de técnicas pesadas de ofuscação de código, incluindo criptografia de string, nivelamento de fluxo de controle (CFF), aritmética booleana mista (MBA) e predicados opacos para impedir esforços de engenharia reversa. A TELESHIM também emprega uma série de métodos para detectar a presença de ambientes de análise baseados em virtualização. Alguns deles estão listados abaixo -
Detecção de hipervisor usando CPUID
Verificação da velocidade da RAM usando o Windows Management Instrumentation (WMI)
As comunicações TELESHIM C2 suportam dois tipos de mensagens -
Mensagens de controle, que são usadas para registrar o host infectado enviando o endereço MAC do host e executando comandos recebidos e exfiltrando os resultados de volta ao servidor em pedaços se a saída for maior que 1.000 bytes
Baixar e executar mensagens, que são usadas para baixar e executar cargas secundárias como tarefas agendadas
O que é notável sobre a carga final é que ela está bloqueada por duas camadas de criptografia XOR, a segunda camada usando uma técnica chamada chave ambiental, criptografando-a por meio de uma chave de descriptografia derivada do número de série do volume da máquina infectada. Isso é feito para que o malware seja detonado apenas nos alvos pretendidos.
A sequência de ataque culmina com a implantação do BINDCLOAK, um implante C2 de 64 bits escrito em C++ que contata um servidor externo ("cert.hypersnet[.]com").
ThreatLabz observou que identificou atividades pós-comprometimento do operador C2, como comandos de reconhecimento de sistema, usuário e rede, bem como a entrega de cargas úteis de próximo estágio, a maioria das quais ocorreu entre 7 de julho de 2026 e 9 de julho de 2026. Os comandos C2 foram executados apenas entre 4h e 12h. UTC, com grande parte da atividade ocorrendo entre 7h e 11h UTC.
Com base no endereço IP público do agente da ameaça, na localidade do sistema configurada no servidor Windows, na geolocalização do endereço IP e no horário operacional ativo, é avaliado com confiança moderada a alta que a campanha é obra de um adversário originário do Leste Asiático. Não foi atribuído a nenhum ator ou grupo de ameaça conhecido nesta fase.
“A atividade também reflete tendências mais amplas, como a evasão de EDR, misturando-se com o tráfego legítimo da Internet através do abuso de plataformas confiáveis, e o uso de técnicas de ofuscação de código, como MBA e CFF, para impedir a engenharia reversa”, disse Singh.
Fonte: https://thehackernews.com
#samirnews #samir #news #boletimtec #teleshim #abusa #do #telegrama #para #c2 #em #ataques #contra #governos #do #oriente #médio
🔔 Siga-nos para não perder nenhuma atualização!
Postar um comentário