Recente relatório da Kaspersky sobre ciberataques direcionados à indústria revela o modus operandis (táticas, técnicas e procedimentos avançados – TTPs) dos grupos especializados que operam neste setor. Indústrias de manufatura e sistemas de controle industrial (ICS) e integração foram particularmente afetadas, o que destaca a necessidade urgente de maior cuidado em cibersegurança.
Durante a investigação, a Kaspersky descobriu uma série de ataques direcionados com o objetivo de estabelecer um canal permanente de roubo (exfiltração) de dados. Essas campanhas mostraram semelhanças importantes com ataques já conhecidos como ExCone e DexCone, sugerindo o envolvimento do APT31, também conhecido como Judgment Panda e Zirconium.
A investigação revelou ainda o uso de recursos avançados projetados para acesso remoto, mostrando o amplo conhecimento e experiência dos grupos em contornar as medidas de segurança. Essas ferramentas possibilitaram o estabelecimento de canais contínuos para vazamento de dados, inclusive de sistemas extremamente seguros.
É importante observar que mais uma vez foram usadas técnicas de sequestro de DLL (ou seja, uso indevido de programas legítimos com vulnerabilidades para carregar DLLs maliciosas na memória) para tentar evitar a detecção precoce do ataque.
Serviços de armazenamento de dados na nuvem, como Dropbox e Yandex Disk, bem como plataformas de compartilhamento temporário de arquivos, foram usados para vazar dados e entregar malware em seguida. Também foi implantada uma infraestrutura de comando e controle (C2) no Yandex Cloud, bem como em servidores privados virtuais (VPS) regulares para manter o controle das redes comprometidas.
Nesses ataques, foram implementadas novas variantes do malware FourteenHi. Originalmente descoberta em 2021 durante a campanha ExCone, que visava entidades governamentais, essa família de malware evoluiu, com novas variantes surgindo em 2022, para atingir especificamente a infraestrutura de organizações industriais.
Além disso, foi descoberto durante a investigação um novo implante de malware, chamado de MeatBall. Esse implante backdoor tem amplas capacidades de acesso remoto.
“Não podemos subestimar os riscos significativos que os ataques direcionados representam para a indústria. À medida que as organizações continuam digitalizando suas operações e dependem de sistemas interconectados, é impossível negar as possíveis consequências de ataques bem-sucedidos à infraestrutura crítica. Essa análise enfatiza a importância fundamental da implementação de medidas resilientes de cibersegurança para proteger a infraestrutura industrial contra ameaças existentes e futuras”, comenta Kirill Kruglov, pesquisador sênior de segurança da ICS CERT da Kaspersky.
Para ler o relatório completo sobre os implantes do primeiro estágio, visite o site da ICS CERT.
