⚡ Não perca: notícia importante no ar! ⚡
Não deixe essa passar: clique e saiba tudo!
Apoie esse projeto de divulgacao de noticias! Clique aqui
O grupo de hackers Jewelbug tem realizado operações de espionagem visando governos e militares, ao mesmo tempo que se envolve em fraudes com criptomoedas.
Embora o actor da ameaça tenha como alvo agências e organizações governamentais em sectores críticos, incluindo defesa, telecomunicações, educação e aviação, a sua actividade relacionada com as criptomoedas sugere que também podem operar como um grupo de hack-for-hire que procura lucrar com o cibercrime.
Numa operação recente, a Jewelbug (também conhecida como Earth Alux e REF7707) comprometeu contas de webmail pertencentes a 15 inquilinos do governo como parte de uma campanha dirigida a um país no Médio Oriente.
Pesquisadores da Symantec descobriram que a campanha de espionagem e a fraude com criptomoedas foram conduzidas no mesmo painel de controle.
O grupo de hackers baseado na China obteve acesso de gravação à instalação compartilhada do webmail e inseriu um script malicioso em seu modelo comum. O script foi então executado em páginas de login e visualizações de caixas de correio em 15 locatários.
A cadeia de ataques de webmailFonte: Symantec
Após a execução, o script estabeleceu uma conexão WebSocket com o servidor de comando e controle (C2) do invasor, exfiltrou cookies de webmail e recuperou o endereço de e-mail do usuário para determinar se ele pertencia a um domínio governamental alvo.
Alvos valiosos receberiam um aviso falso de atualização do Adobe Flash, que instala a carga principal no Windows, o backdoor do Antino e as ferramentas do navegador.
Além de Antino, o agente da ameaça também usa a estrutura de acesso remoto e roubo de dados XG-Web para gerenciar campanhas e informações das vítimas.
O painel XG-WebFonte: Symantec
De acordo com a Symantec, o Jewelbug entrega o Antino por meio de arquivos HTA maliciosos e instaladores falsos do Adobe Flash/Adobe e, em seguida, usa-o para implantar cargas adicionais.
Uma das cargas úteis é uma extensão de navegador maliciosa para Chrome e Firefox, chamada PDF Viewer, que rouba cookies e credenciais, intercepta tráfego, injeta JavaScript e expõe remotamente funções do navegador.
Os recursos do visualizador de PDFFonte: Symantec
A Symantec rastreou as infecções do Antino até a infraestrutura do Jewelbug e, em seguida, obteve visibilidade da plataforma de gerenciamento C2 do grupo, do banco de dados, dos registros do servidor, do código-fonte e dos arquivos do operador.
Os dados mostraram que os hackers executaram uma operação de espionagem em grande escala e “um negócio de fraude de criptomoeda em escala industrial”.
“O banco de dados de vítimas do Jewelbug contém mais de um milhão de linhas de check-in de implantes, mais de 580 mil cookies de navegador roubados, vários milhares de credenciais capturadas e mais de 2.300 corpos de e-mail exfiltrados”, observam os pesquisadores da Symantec.
Em relação à parte de espionagem, o Jewelbug teve como alvo organizações governamentais e militares em todo o Oriente Médio, Sudeste Asiático e Sul da Ásia.
“Os registros do servidor de tempo de execução registraram cerca de 1,1 milhão de eventos de geolocalização em aproximadamente 4.300 endereços IP de origem distintos: aproximadamente 87.200 conexões de um país do Sudeste Asiático (visando redes estaduais de telecomunicações e militares), aproximadamente 53.100 de um país do Oriente Médio (em toda a faixa da operadora nacional, incluindo endereços conectados ao Starlink na capital) e aproximadamente 15.000 de um segundo país do Sudeste Asiático (incluindo infraestrutura do ministério do governo)”, diz a Symantec.
Os pesquisadores explicaram que o autor da ameaça obteve acesso de gravação à instalação de webmail usada por vários ministérios e agências governamentais após comprometer uma plataforma compartilhada de hospedagem na web operada pelo provedor estatal de telecomunicações e pela agência nacional de serviços.
Ao injetar uma única tag de script, o agente da ameaça garantiu que a carga JavaScript abrisse um WebSocket para o C2 sempre que um usuário em um dos nove domínios governamentais fizesse login.
“Uma única campanha abrangeu mais de 15 locatários de webmail do governo, com o gancho disparando na página de login e em todas as visualizações da caixa de correio”, diz a Symantec.
As operações de roubo de criptomoedas são apoiadas por artigos gerados por IA que direcionam tráfego para sites falsos de troca de criptografia e bots de fraude de cliques que manipulam as classificações de pesquisa.
Operações paralelas do JewelbugFonte: Symantec
De acordo com os pesquisadores, o agente da ameaça depende de um pipeline de ataque automatizado que coleta palavras-chave, gera milhares de páginas de download falsas usando IA e as publica “em uma frota de gerenciamento de conteúdo de 44 servidores e centenas de domínios semelhantes” personificando OKX e Binance. Usando bots de clique, o Jewelbug manipula classificações para promover suas páginas fraudulentas.
A fraude também usa outras iscas: apostas esportivas, portais piratas de transmissão ao vivo e golpes de detetives particulares.
Os pesquisadores da Symantec têm grande confiança em atribuir as atividades de motivação financeira da Jewelbug a uma empresa chinesa que anuncia serviços de SEO.
Jewelbug também usa um implante baseado em Rust chamado ‘ClientKing’ que tem como alvo servidores Linux, dispositivos ARM64
Embora o actor da ameaça tenha como alvo agências e organizações governamentais em sectores críticos, incluindo defesa, telecomunicações, educação e aviação, a sua actividade relacionada com as criptomoedas sugere que também podem operar como um grupo de hack-for-hire que procura lucrar com o cibercrime.
Numa operação recente, a Jewelbug (também conhecida como Earth Alux e REF7707) comprometeu contas de webmail pertencentes a 15 inquilinos do governo como parte de uma campanha dirigida a um país no Médio Oriente.
Pesquisadores da Symantec descobriram que a campanha de espionagem e a fraude com criptomoedas foram conduzidas no mesmo painel de controle.
O grupo de hackers baseado na China obteve acesso de gravação à instalação compartilhada do webmail e inseriu um script malicioso em seu modelo comum. O script foi então executado em páginas de login e visualizações de caixas de correio em 15 locatários.
A cadeia de ataques de webmailFonte: Symantec
Após a execução, o script estabeleceu uma conexão WebSocket com o servidor de comando e controle (C2) do invasor, exfiltrou cookies de webmail e recuperou o endereço de e-mail do usuário para determinar se ele pertencia a um domínio governamental alvo.
Alvos valiosos receberiam um aviso falso de atualização do Adobe Flash, que instala a carga principal no Windows, o backdoor do Antino e as ferramentas do navegador.
Além de Antino, o agente da ameaça também usa a estrutura de acesso remoto e roubo de dados XG-Web para gerenciar campanhas e informações das vítimas.
O painel XG-WebFonte: Symantec
De acordo com a Symantec, o Jewelbug entrega o Antino por meio de arquivos HTA maliciosos e instaladores falsos do Adobe Flash/Adobe e, em seguida, usa-o para implantar cargas adicionais.
Uma das cargas úteis é uma extensão de navegador maliciosa para Chrome e Firefox, chamada PDF Viewer, que rouba cookies e credenciais, intercepta tráfego, injeta JavaScript e expõe remotamente funções do navegador.
Os recursos do visualizador de PDFFonte: Symantec
A Symantec rastreou as infecções do Antino até a infraestrutura do Jewelbug e, em seguida, obteve visibilidade da plataforma de gerenciamento C2 do grupo, do banco de dados, dos registros do servidor, do código-fonte e dos arquivos do operador.
Os dados mostraram que os hackers executaram uma operação de espionagem em grande escala e “um negócio de fraude de criptomoeda em escala industrial”.
“O banco de dados de vítimas do Jewelbug contém mais de um milhão de linhas de check-in de implantes, mais de 580 mil cookies de navegador roubados, vários milhares de credenciais capturadas e mais de 2.300 corpos de e-mail exfiltrados”, observam os pesquisadores da Symantec.
Em relação à parte de espionagem, o Jewelbug teve como alvo organizações governamentais e militares em todo o Oriente Médio, Sudeste Asiático e Sul da Ásia.
“Os registros do servidor de tempo de execução registraram cerca de 1,1 milhão de eventos de geolocalização em aproximadamente 4.300 endereços IP de origem distintos: aproximadamente 87.200 conexões de um país do Sudeste Asiático (visando redes estaduais de telecomunicações e militares), aproximadamente 53.100 de um país do Oriente Médio (em toda a faixa da operadora nacional, incluindo endereços conectados ao Starlink na capital) e aproximadamente 15.000 de um segundo país do Sudeste Asiático (incluindo infraestrutura do ministério do governo)”, diz a Symantec.
Os pesquisadores explicaram que o autor da ameaça obteve acesso de gravação à instalação de webmail usada por vários ministérios e agências governamentais após comprometer uma plataforma compartilhada de hospedagem na web operada pelo provedor estatal de telecomunicações e pela agência nacional de serviços.
Ao injetar uma única tag de script, o agente da ameaça garantiu que a carga JavaScript abrisse um WebSocket para o C2 sempre que um usuário em um dos nove domínios governamentais fizesse login.
“Uma única campanha abrangeu mais de 15 locatários de webmail do governo, com o gancho disparando na página de login e em todas as visualizações da caixa de correio”, diz a Symantec.
As operações de roubo de criptomoedas são apoiadas por artigos gerados por IA que direcionam tráfego para sites falsos de troca de criptografia e bots de fraude de cliques que manipulam as classificações de pesquisa.
Operações paralelas do JewelbugFonte: Symantec
De acordo com os pesquisadores, o agente da ameaça depende de um pipeline de ataque automatizado que coleta palavras-chave, gera milhares de páginas de download falsas usando IA e as publica “em uma frota de gerenciamento de conteúdo de 44 servidores e centenas de domínios semelhantes” personificando OKX e Binance. Usando bots de clique, o Jewelbug manipula classificações para promover suas páginas fraudulentas.
A fraude também usa outras iscas: apostas esportivas, portais piratas de transmissão ao vivo e golpes de detetives particulares.
Os pesquisadores da Symantec têm grande confiança em atribuir as atividades de motivação financeira da Jewelbug a uma empresa chinesa que anuncia serviços de SEO.
Jewelbug também usa um implante baseado em Rust chamado ‘ClientKing’ que tem como alvo servidores Linux, dispositivos ARM64
#samirnews #samir #news #boletimtec #hackers #violam #o #webmail #do #governo #enquanto #executam #fraudes #criptográficas #paralelas
💡 Compartilhe e ajude nosso projeto a crescer!
Postar um comentário