Uma falsa atualização do navegador, distribuída por meio de Wi-Fi de hotel sequestrado, tem sido usada para entregar o CornFlake, um trojan de acesso remoto, ou RAT, capaz de capturar imagens da webcam, áudio do microfone e teclas digitadas, informou a Microsoft em seu relatório mais recente.
Pesquisadores acompanham a operação sob o nome CaptiveCrunch e a atribuem ao Storm-2945.
A empresa avalia o Storm-2945 como um subcluster operacional do Midnight Blizzard, também conhecido como APT29 e Cozy Bear.
Os governos dos Estados Unidos e do Reino Unido atribuem o grupo mais amplo ao Serviço de Inteligência Estrangeira da Rússia, o SVR.
Nas redes comprometidas investigadas pela ReliaQuest, o gateway do portal cativo também atuava como resolvedor de DNS atribuído aos dispositivos conectados.
O controle administrativo desse gateway permitiu aos atacantes forjar respostas do Sistema de Nomes de Domínio, ou DNS, e redirecionar o tráfego resultante.
A partir daí, eles podiam desviar a verificação automática de conectividade de um notebook para uma falsa atualização do navegador ou do sistema operacional.
Algumas páginas usam instruções do ClickFix que orientam as vítimas a abrir um terminal ou outro utilitário do Windows e executar um comando fornecido pelo atacante.
O gateway controla para onde o usuário é enviado, mas não infecta o endpoint de forma silenciosa.
A vítima ainda precisa baixar ou executar o payload.
A Microsoft observou essa manipulação de tráfego desde o início de maio em redes de hotelaria de vários países, mas não identificou hotel, local nem fornecedor de portal cativo.
A ReliaQuest recomenda o uso contínuo de uma VPN com túnel completo, que envia as consultas DNS por meio de resolvedores corporativos antes que o gateway do local possa responder.
Os pesquisadores aconselham viajantes a usar conexões privadas e a rejeitar atualizações de software, certificados, atualizações do navegador, ferramentas de solução de problemas ou utilitários de segurança oferecidos por portais cativos.
Desde 16 de julho, algumas páginas de destino do CaptiveCrunch têm redirecionado hóspedes para o fluxo de autenticação por código de dispositivo da Microsoft.
Inserir o código fornecido pelo atacante na página legítima de login da Microsoft pode conceder ao invasor acesso a uma sessão com MFA validada.
A Microsoft recomenda bloquear esse fluxo por meio do Acesso Condicional sempre que ele não for necessário.
O CornFlake, um implante desenvolvido em Go, copia-se para %APPDATA%\svchost32\svchost32.exe e registra o serviço svchost32 com o nome de exibição Cloud Sync Service.
Uma falsa janela de progresso mantém a atenção da vítima enquanto isso ocorre.
A análise da Microsoft indica que o implante pode tirar capturas de tela acionadas por inatividade, registrar o conteúdo da área de transferência junto com o título da janela ativa, roubar cookies do navegador e senhas salvas, inclusive cookies protegidos pelo App-Bound Encryption do Chrome, verificar mídias removíveis e abrir uma shell remota.
Ele também usa uma chave Run do Registro e uma tarefa agendada, enquanto um mecanismo de vigilância restaura qualquer mecanismo de persistência removido pelos defensores.
Os pesquisadores também identificaram o ChocoShell, um ladrão em PowerShell executado em memória.
Ele coleta tokens de acesso e de atualização do Microsoft 365 e do Azure Active Directory, além de tokens do Web Account Manager, ou WAM, a partir de arquivos .tbres no cache do Token Broker.
Os tokens roubados podem permitir a repetição de sessão sem necessidade de cookie do navegador.
Os relatórios documentam redirecionamentos ativos e entrega de malware, mas não quantificam seu alcance nem sua conversão.
Sem números de execuções bem-sucedidas, aprovações de código de dispositivo ou contas roubadas, o registro público não mostra com que frequência um redirecionamento se transformou em comprometimento.
A Microsoft encontrou equipamentos e sistemas de gerenciamento comuns nas redes afetadas, o que, segundo a empresa, pode refletir acesso a serviços compartilhados dentro de partes do ecossistema de portal cativo.
Se for esse o caso, os comprometimentos podem não ter se limitado a locais individuais.
A Microsoft não identificou nenhum provedor afetado.
A ReliaQuest documentou os mesmos domínios que se passavam pela Microsoft e a infraestrutura sobreposta oito dias antes.
Segundo a empresa, as técnicas lembravam o APT28, unidade da GRU também chamada Fancy Bear e Forest Blizzard, mas ela não foi além na atribuição porque a avaliação se baseia na sobreposição de TTPs, e não em uma ligação técnica direta.
A Microsoft reconhece a semelhança com o sequestro de roteadores do Forest Blizzard que revelou em abril, ao mesmo tempo em que atribui o CaptiveCrunch ao Storm-2945.
O Centro Nacional de Segurança Cibernética do Reino Unido e seus parceiros internacionais avaliam que o APT29 é quase certamente parte do Serviço de Inteligência Estrangeira da Rússia.
Essa atribuição governamental cobre o grupo APT29 mais amplo.
A ligação entre CaptiveCrunch e Storm-2945 continua sendo uma avaliação da Microsoft.
Nenhum relatório técnico público separado a corroborou de forma independente.
O vetor inicial de comprometimento segue sob investigação.
A ReliaQuest avalia com confiança baixa a média que uma combinação de interfaces de gerenciamento expostas e credenciais de administrador fracas ou reutilizadas pode ter permitido o acesso, mas afirmou que limitações de visibilidade impediram a confirmação.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...