Um threat actor de língua chinesa é o principal suspeito por trás de uma nova onda de ataques cibernéticos contra organizações governamentais, sobretudo na Ásia Central, incluindo Afeganistão, Quirguistão, Tajiquistão, Uzbequistão, Cazaquistão e a República Árabe Síria, desde janeiro de 2025.
Segundo a Kaspersky, as organizações atingidas atuam em diferentes setores, como saúde, pesquisa, repartições governamentais, ministérios das relações exteriores, logística, agências de segurança pública, planejamento urbano e gestão de instalações, além de instituições públicas de ensino.
Até o momento, a atividade não foi associada a nenhum adversário ou grupo conhecido.
Os ataques se destacam pelo uso de dois novos backdoors ofuscados, monitorados pela empresa russa de cibersegurança com os nomes OctLurk e SilkLurk, além de uma ferramenta especializada, codinome LurkProxy, usada para encaminhar o tráfego de rede.
"OctLurk e SilkLurk podem baixar e injetar plugins adicionais para realizar outras ações maliciosas, incluindo executar shells de comando, operar no sistema de arquivos, simular eventos de teclado e mouse, fazer varredura de rede, extrair credenciais, registrar teclas, roubar senhas de navegadores, coletar e-mails e obter acesso remoto", afirmaram os pesquisadores Saurabh Sharma e Yaroslav Kikel.
Ainda não se sabe qual foi o vetor inicial de acesso usado nesses ataques.
No entanto, a análise da Kaspersky mostra que o OctLurk é injetado na memória e implantado por meio de um loader.
Os atacantes também verificam a conectividade com a internet para o domínio "dns.ssentialserv[.]xyz" antes de executar um script em lote responsável por iniciar o LurkProxy.
Em seguida, a ferramenta estabelece contato com um servidor remoto ("154.196.162[.]76") para command and control (C2).
Depois de executado, o OctLurk primeiro coleta informações do sistema, criptografa esses dados e os envia a um servidor C2 hardcoded ("dns.multitoconference[.]com") por meio de uma conexão em socket de fluxo.
A ferramenta foi projetada para carregar plugins recebidos do servidor diretamente na memória, o que permite executar comandos, realizar operações em arquivos, coletar e modificar o conteúdo da área de transferência, capturar capturas de tela e simular movimentos do mouse.
Foi identificado que os threat actors exploram o plugin de shell de comando do backdoor para realizar a seguinte sequência de ações:
- Fazer o fingerprint do host e coletar dados extensos sobre o sistema comprometido.
- Executar comandos para exportar eventos de logon bem-sucedidos de logons interativos remotos e consultar esses eventos para usuários específicos.
- Extrair hashes de senhas de controladores de domínio com a ferramenta "secretsdump.py", do Impacket.
- Soltar e executar um keylogger que se passa pelo AnyDesk para evitar a detecção.
- Descriptografar e extrair senhas do Google Chrome e do Mozilla Firefox.
- Estabelecer acesso remoto à máquina da vítima usando o agente Pandora RC.
- Fazer varredura em redes internas e públicas com o Fscan para identificar serviços em portas específicas, como Secure Shell (SSH) na porta 22 e MySQL na porta 3306, e então tentar acessar esses serviços com credenciais de um arquivo de senhas chamado "pp.txt".
- Conectar-se a um servidor de e-mail, autenticar-se com nome de usuário e senha e emitir comandos para coletar ou manipular mensagens.
O LurkProxy, por sua vez, pode funcionar como um proxy reverso em dois modos distintos, como proxy SOCKS5 ou como proxy transparente.
Em qualquer momento, o malware consegue operar apenas em um modo para rotear o tráfego de rede por meio de um endereço de destino.
A terceira ferramenta no arsenal do threat actor é o SilkLurk, iniciado por meio de uma DLL que, por sua vez, é executada em uma cadeia de DLL side-loading.
O backdoor então cria um socket TCP e se conecta a um servidor C2 definido em sua configuração, antes de coletar informações da vítima e transmiti-las ao servidor.
Em resposta, o servidor envia um comando que deve ser executado no endpoint infectado.
Isso pode incluir obter a hora local do sistema, definir um intervalo de sono que determina com que frequência o backdoor consulta o servidor C2, enviar ou atualizar a configuração do backdoor e receber e injetar plugins adicionais na memória.
A atividade pós-comprometimento associada ao SilkLurk inclui:
- Invocar "cmd.exe" para abrir o PowerShell e executar comandos para se conectar a recursos de rede compartilhados com credenciais administrativas, buscar e preparar documentos confidenciais, desconectar-se dos compartilhamentos e usar ferramentas legítimas de compactação, como WinRAR e 7-Zip, para arquivar os dados roubados.
- Executar "cmd.exe" para iniciar uma cadeia de DLL side-loading e soltar o PlugX, um backdoor conhecido usado por grupos chineses de hackers.
A Kaspersky afirmou ter encontrado sobreposição de infraestrutura entre a campanha e um conjunto anterior de ataques envolvendo um implant em C++ codinome SilentRaid, também conhecido como MystRodX e TrustFall.
"Essa sobreposição aponta para infraestrutura compartilhada entre campanhas voltadas a diferentes sistemas operacionais, embora ainda não esteja claro se essas atividades ocorreram de forma simultânea ou em momentos diferentes", disse a Kaspersky.
"O surgimento da estrutura de malware multíplugin OctLurk e SilkLurk evidencia como os threat actors refinam continuamente suas táticas para evitar a detecção e manter o controle sobre redes comprometidas."
"Ambas as famílias operam principalmente na memória, deixando no disco apenas um loader minimalista que depende de dados específicos da máquina, como o número de série da unidade no caso do OctLurk e o nome do computador no caso do SilkLurk, para decodificar locais e conteúdos de payload.
Esse tipo de codificação específica da vítima torna a engenharia reversa e a detecção automatizada consideravelmente mais difíceis."
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...