Relatório de inteligência sobre ameaças globais

O SmokeLoader, que foi descoberto pela primeira vez em 2011, passou por várias iterações e continua sendo uma ameaça proeminente usada para carregar tudo, desde mineradores de criptografia, ransomware, cavalos de Troia e até mesmo malware de ponto de venda (POS) em sistemas infectados. Versões anteriores desse malware foram vendidas em fóruns clandestinos com o nome SmokeLdr, mas, desde 2014, ele só está sendo vendido para agentes de ameaças baseados na Rússia. Em 2018, o SmokeLoader foi o primeiro malware a usar a técnica de injeção de código ^PROPagate2. O malware pode ser distribuído por meio de uma ampla gama de vetores de ataque, incluindo documentos maliciosos relacionados a campanhas de phishing em massa de grande escala. Em julho de 2022, a equipe de Pesquisa e Inteligência de Ameaças do site BlackBerry observou o SmokeLoader distribuindo uma nova versão do Amadey Bot. Durante esse ataque, o SmokeLoader estava oculto em softwares "crackeados" (também conhecidos como "cracks") e ferramentas de geração de chaves (também conhecidas como "keygens") para aplicativos de software populares. O agente da ameaça por trás da campanha se baseou em técnicas de SEO de chapéu ^preto3 (também conhecido como envenenamento de SEO) para garantir que seus sites de malware aparecessem no topo ou perto do topo dos resultados de mecanismos de pesquisa relacionados para atrair as pessoas que buscavam arquivos crackeados para baixar e executar o executável malicioso.

Como algumas soluções antivírus podem bloquear cracks e keygens, algumas pessoas desativam intencionalmente seus produtos de segurança antes de fazer o download desses arquivos ou ignoram os alertas de detecção e prosseguem com o download. Como resultado, até mesmo ameaças amplamente detectadas podem infectar sistemas quando a vítima permite explicitamente o download e a execução do malware.

O Warzone (também conhecido como Ave Maria) RAT está disponível para venda em fóruns clandestinos e não clandestinos. Os recursos abrangentes do Warzone incluem keylogging, manipulação de processos, execução de comandos, coleta de senhas, acesso à webcam, configuração de proxy reverso e suporte para download e execução de arquivos adicionais ou malware.

A Warzone oferece dois níveis de preços: uma assinatura inicial para o construtor básico de RAT, que começa em US$ 22,95 por mês, e uma versão premium de preço mais alto. Projetada para atrair agentes de ameaças novatos, a versão premium oferece recursos avançados, como rootkit, capacidade de processo oculto, DNS dinâmico premium (DDNS) e suporte ao cliente por aproximadamente US$ 800,00 para uma assinatura de três meses.

Esse malware de commodity não tem alvos específicos e é usado por vários agentes de ameaças e grupos cibernéticos. No último trimestre, o Warzone foi implantado em uma campanha focada exclusivamente em fabricantes de semicondutores de Taiwan e entregue por meio de anexos de arquivos .RAR maliciosos.

O DarkCrystal (também conhecido como DCRat) foi lançado pela primeira vez em 2018 e é um dos backdoors .NET mais baratos disponíveis, com preços que variam de cerca de US$ 5 para uma licença de dois meses a US$ 40 para uma licença "vitalícia" (que normalmente significa a vida útil do grupo de ameaças). 

Um arquivo de configuração incorporado determina quais recursos são ativados na execução, o que pode incluir, entre outros, capturas de tela, keylogging e roubo de cookies e senhas de navegadores da Web e pranchetas. A Equipe de Resposta a Emergências de Computadores da Ucrânia (CERT-UA) ^observou7 que o DarkCrystal tinha como alvo a Ucrânia durante o conflito entre a Rússia e a Ucrânia.

O BlackBasta é um grupo de ransomware relativamente novo que opera como ransomware como serviço (RaaS) e foi detectado pela primeira vez em abril de 2022. Ele emprega uma técnica de extorsão dupla, exigindo resgate para descriptografar os dados da empresa e extorquindo taxas adicionais para evitar que os dados sejam vazados para o público.

O BlackBasta usa ferramentas como o Qakbot (também conhecido como Qbot) e o exploit PrintNightmare (^{CVE-2021-3452712}) em seus ataques e criptografa os dados da vítima com uma combinação de ChaCha20 e RSA-4096. A cadeia de infecção do BlackBasta difere de alvo para alvo e criptografa os dados mais rapidamente do que outros grupos de ransomware. Alguns dos comportamentos do BlackBasta são semelhantes aos malwares produzidos anteriormente pelo grupo Conti.

O ransomware BlackCat, que apareceu pela primeira vez na natureza em novembro de 2021, foi a primeira grande família de ransomware criada na linguagem de programação Rust. (Conforme detalhado neste relatório, o Rust oferece mais flexibilidade para os agentes de ameaças compilarem binários que visam todos os principais sistemas operacionais, ampliando seu alcance de possíveis alvos e sistemas). O grupo usou o botnet Emotet para entregar uma carga útil de ransomware. Depois que um ponto de apoio é estabelecido, um sinalizador Cobalt Strike é implantado para permitir que os agentes da ameaça se aprofundem na rede-alvo.

O BlackCat tem sido prolífico desde seu início, visando inúmeras vítimas de alto perfil e usando métodos de extorsão dupla e até tripla. De acordo com um comunicado do FBI de ²⁰²²¹³, as afiliadas do ransomware BlackCat estão potencialmente ligadas a dois grupos de ameaças mais antigos: DarkSide e BlackMatter. O BlackCat ganhou as manchetes em fevereiro de 2023 após um ataque à Universidade Tecnológica de Munster, na Irlanda.

Às vezes, o adware é visto apenas como um incômodo, mas pode ser muito mais prejudicial. A exibição de anúncios indesejados depende de comportamentos maliciosos, incluindo o monitoramento da atividade do usuário, a comunicação com um servidor e o download de dados ou códigos adicionais. Por exemplo, o cavalo de Troia UpdateAgent implementa o adware agressivo AdLoad. Evitamos várias infecções por AdLoad entre nossos clientes que usam dispositivos macOS durante o período do relatório.

Também identificamos o uso contínuo do adware Pirrit. Esse malware baixa e inicia scripts e executáveis adicionais em formato de arquivo de objeto Mach (Mach-O) na máquina comprometida, que podem ser usados para executar códigos mais perigosos.

A popularidade do Linux continua a crescer. Até 90% dos serviços de nuvem ^pública14 são executados no Linux, e um número significativo de empresas está migrando ou planejando uma migração para serviços de nuvem. Além disso, o Linux é comumente usado na Internet das Coisas (IoT). Como o Linux não é um sistema operacional de desktop comum nas empresas, a maioria das infecções depende de técnicas como ataques de força bruta ou exploração de vulnerabilidades de rede e servidor, em vez de incentivar os usuários a abrir um anexo infectado. Por esses motivos, as organizações que dependem da infraestrutura do Linux precisam de um programa abrangente de gerenciamento de vulnerabilidades para proteger seus servidores.

Durante o período do relatório, a telemetria do BlackBerry revelou vários ataques ao Linux que tentavam implantar mineradores de criptografia que, além de consumir recursos do sistema, podem permitir a implantação de outros malwares, como backdoors que permitem aos criminosos o acesso remoto ao sistema.

O período do relatório também incluiu um aumento no ransomware de plataforma cruzada que pode ter como alvo vários sistemas operacionais. Por exemplo, o novo ransomware Royal pode ter como alvo o Linux, bem como os sistemas Windows e ESXi.

Os mineradores de criptografia usam os recursos do sistema Linux de uma vítima para minerar criptomoedas digitais para obter ganhos financeiros, uma atividade conhecida como ^{cryptojacking15}. Os pesquisadores do BlackBerry detectaram anteriormente um ataque usando a ^família de malware Dota316, que ataca servidores SSH que usam senhas fracas e instala o conhecido minerador de criptografia ^XMRig17. O botnet do minerador de criptografia ^Sysrv18, que está ativo desde o início de 2021, é compilado na linguagem de programação Go e pode ser executado em vários sistemas operacionais. O Sysrv tenta baixar o carregador de um arquivo .sh, o que indica que o ataque foi direcionado a sistemas Linux. Esse botnet tem várias explorações e extrai a criptomoeda Monero usando o XMRig depois de comprometer um sistema.

Um ataque recente explorou o ^{CVE-2022-3591419}, que é uma vulnerabilidade no GLPI (um software de gerenciamento de serviços de código aberto normalmente usado para gerenciar helpdesks e ativos de TI). O invasor tentou aumentar seus privilégios abusando do PwnKit (^{CVE-2021-403420}). Várias instâncias de malware foram encontradas no endpoint da vítima, incluindo o XMRig e uma ferramenta de DoS conhecida como BillGates.

Os primeiros ^relatos38 de um novo surto maciço de ransomware direcionado a servidores VMware ESXi sem correção começaram a ser divulgados on-line no início de fevereiro de 2023. Com origem na ^França39, mas rapidamente se espalhando pelo mundo, alguns relatórios especificaram que ele criptografou vários milhares de servidores apenas no primeiro dia de operação.

O agente da ameaça por trás desse novo ransomware explorou uma vulnerabilidade de dois anos (^{CVE-2021-2197440}) em servidores VMware ESXi voltados para a Internet para obter acesso e implantar o ransomware. As seguintes versões do ESXi estavam entre as suscetíveis ao ataque:

• Versões do ESXi 6.5.x anteriores ao ESXi650-202102101-SG
• Versões do ESXi 6.7.x anteriores ao ESXi670-202102401-SG
• Versões do ESXi 7.x anteriores ao ESXi70U1c-17325551

Os componentes do ransomware incluíam um criptografador de arquivos ELF e um script shell encrypted.sh projetado para coordenar a cadeia de execução, incluindo a execução do criptografador.

Após a execução, o malware modificou o nome do arquivo de configuração VMX, encerrou todos os processos VMX em execução e identificou e criptografou arquivos com extensões .vmx, .vmxf, .vmsd, .nvram e .vmdk. Em seguida, o malware excluía os originais.

Em seguida, o malware lançou uma nota de resgate solicitando o valor aparentemente arbitrário de 2,092716 Bitcoin (BTC), que era de aproximadamente US$ 48.000 na época dos ataques. De acordo com a nota, os dados seriam expostos publicamente se o agente da ameaça não fosse pago em três dias.

O fornecedor emitiu um patch para a vulnerabilidade CVE-2021-21974 dois anos antes, em fevereiro de 2021. Esse ataque destaca a importância fundamental de programas de gerenciamento de patches atualizados e demonstra que os sistemas baseados em Linux são vulneráveis a ataques e estão se tornando um alvo cada vez mais atraente para os agentes de ameaças.

Em meados de fevereiro, o Technion Israel Institute of Technology foi atacado por um novo tipo de ransomware chamado DarkBit. O agente da ameaça parecia ter motivações geopolíticas, e a nota de resgate continha mensagens antigovernamentais e anti-israelenses, bem como comentários sobre demissões no setor de tecnologia que estavam ocorrendo naquele momento.

O ransomware foi escrito em Golang e, usando um vetor de infecção desconhecido, implantou um arquivo de configuração incorporado com parâmetros específicos para o malware seguir, incluindo os tipos de arquivos a serem excluídos da criptografia, a nota de resgate e instruções para dividir arquivos maiores para criptografia segmentada.

O malware também pode ser executado usando opções de linha de comando para um fluxo de ataque personalizado, incluindo multithreading opcional para uma rotina de criptografia mais rápida. Após a execução, o malware executou a seguinte chamada:

- "vssadmin.exe delete shadow /all /Quiet"

Esse comando excluía as cópias de sombra, impedia os esforços de recuperação e localizava os tipos de arquivos visados no computador host, que seriam criptografados com AES-256 e anexados com a extensão .Darkbit.

Uma nota de resgate intitulada RECOVERY_DARKBIT.txt foi colocada em todos os diretórios afetados com instruções sobre como pagar o resgate, que foi fixado em 80 BTC, o equivalente a US$ 1.869.760 no momento do ataque. A nota informava que uma penalidade de 30% seria adicionada se o resgate não fosse pago em 48 horas e que os dados seriam vazados se o resgate não fosse pago em cinco dias.

O texto da nota de resgate e os comentários semelhantes nas mídias sociais e no site do agente da ameaça sugerem que o ataque foi obra de um funcionário insatisfeito, de um grupo de funcionários ou de hacktivistas.

A equipe de Pesquisa e Inteligência sobre Ameaças do site Blackberry publicou recentemente descobertas sobre o NewsPenguin, um agente de ameaças até então desconhecido que tem como alvo organizações baseadas no Paquistão com iscas de phishing personalizadas.

As iscas tinham como tema a Pakistan International Maritime Expo & Conference, realizada de 10 a 12 de fevereiro de 2023, e continham um documento do Word anexado como arma, disfarçado de manual do expositor da conferência. O documento usava uma técnica de injeção remota de modelos e macros mal-intencionadas incorporadas para recuperar o próximo estágio da cadeia de infecção, o que acabou levando a uma carga útil final, o updates.exe.

Essa ferramenta de espionagem, até então não documentada, contém uma ampla gama de recursos anti-análise, anti-sandbox e de roubo de informações que incluem:

• Verificação do tamanho do disco rígido do host
• Determinar se o host tem mais de 10 GB de RAM
• Usando GetTickCount para identificar o tempo de atividade
• Determinar se ele está operando em uma sandbox ou em uma máquina virtual

Após a instalação, o malware faz o check-in e registra o host comprometido com um servidor C2 codificado por meio de um identificador de cadeia de 12 caracteres. O host pode então receber instruções do invasor como uma série de comandos incorporados. Os comandos incluem a capacidade de:

• Identificar e listar informações sobre o processo e o host
• Identificar e copiar, excluir, mover e/ou modificar arquivos e diretórios no host
• Executar executáveis portáteis
• Encerrar processos (inclusive o próprio)
• Carregar (exfiltrar) os arquivos da vítima e baixar arquivos que podem incluir malware adicional

Como uma técnica evasiva adicional, o malware espera exatamente cinco minutos entre a emissão de comandos. Isso pode ajudar a minimizar o ruído associado às suas comunicações C2 e ajudá-lo a não ser detectado pelos mecanismos de segurança e detecção.

Como o evento visado foi organizado pela Marinha do Paquistão e se concentrou em tecnologias marítimas e militares, esse novo agente de ameaças pode ter sido motivado por roubo de informações ou espionagem, em vez de fins financeiros. Continuaremos a rastrear e monitorar as atividades desse grupo.

O Gamaredon (também conhecido como ACTINIUM) é um grupo APT russo patrocinado pelo Estado, atribuído publicamente, que tem como alvo indivíduos e entidades ucranianas há uma década.

Na virada do ano, a equipe de Pesquisa e Inteligência sobre Ameaças do site BlackBerry publicou descobertas sobre uma nova campanha do Gamaredon, na qual o grupo utilizou o popular aplicativo de mensagens Telegram como parte de uma cadeia de execução em vários estágios. O uso do Telegram ajudou as atividades da campanha a se misturarem com o tráfego normal da rede e a não serem detectadas.

O vetor de infecção da campanha foi uma série de iscas de phishing altamente direcionadas com documentos anexados, escritos em russo e ucraniano, que foram projetados para parecerem originários de agências governamentais ucranianas reais. Os documentos empregavam técnicas de injeção remota de modelos, como a exploração do ^{CVE-2017-019941}, que permite a execução de código por meio de arquivos do Word infectados. Quando um documento malicioso é aberto, começa o próximo estágio do ataque.

A delimitação geográfica foi usada para garantir que apenas os alvos com endereços IP da Ucrânia fossem afetados. Se fosse confirmado que o alvo estava na Ucrânia, era baixado um script que se conectava a uma conta do Telegram codificada que levava a um novo endereço IP malicioso. Cada conta do Telegram implementava periodicamente um novo endereço IP para construir um novo URL, que serviria para a carga útil do próximo estágio. Essa estrutura permitiu que o grupo atualizasse dinamicamente sua infraestrutura e, ao mesmo tempo, continuasse difícil de ser detectado pelos mecanismos de segurança tradicionais.

Rastreamos a atividade da campanha até um nó que opera a partir da Crimeia e determinamos que ele está ativo desde pelo menos a primavera de 2022.

No final de fevereiro de 2023, a equipe de Pesquisa e Inteligência sobre Ameaças do BlackBerry testemunhou uma nova campanha que é atribuída com um grau moderado de confiança ao grupo de ameaças sul-americano Blind Eagle (^APT-C-3642). O Blind Eagle está ativo desde 2019, tendo como alvo os setores da Colômbia, Equador, Chile e Espanha.

O objetivo geral da campanha era lançar e implementar o malware de commodity AsyncRAT. O grupo se faz passar por diferentes organizações governamentais, principalmente agências fiscais. O ataque inicial geralmente começa quando uma vítima cai em um link de phishing confiável que inicia uma elaborada cadeia de execução de várias partes.

Durante as campanhas do Blind Eagle, a rede de distribuição de conteúdo da popular plataforma social Discord foi usada indevidamente para hospedar malware (os recursos do Discord foram usados como arma por muitos agentes de ameaças e grupos de crimes cibernéticos).

Durante o período do relatório, a LockBit foi o provedor de RaaS mais ativo - somente em janeiro, 50 dos 165 ataques de ransomware ^conhecidos44 foram atribuídos à LockBit. Os ataques notáveis incluem os seguintes:

• Em 18 de dezembro de 2022, o grupo atacou o Hospital for Sick Children (também conhecido como SickKids). Duas semanas após o ataque, a LockBit alegou que um membro violou suas regras ao atacar uma instituição de saúde, pediu desculpas e lançou um decodificador gratuito. Durante essas duas semanas, os exames laboratoriais e de imagem dos pacientes sofreram atrasos, as linhas telefônicas foram desativadas e o sistema de folha de pagamento da equipe foi desligado.
• Em 25 de dezembro de 2022, o grupo lançou um ataque contra a Administração do Porto de Lisboa (APL), que é um dos maiores portos de Portugal.
• Em 27 de janeiro de 2023, ^{pesquisadores45} compartilharam informações sobre uma nova variante chamada LockBit Green. Pouco tempo depois, outros pesquisadores determinaram que a nova variante usa código-fonte vazado baseado no Conti.
• No início de fevereiro, o grupo de ransomware afirmou estar por trás de um ataque ao Royal Mail (o serviço postal multinacional britânico) e declarou que os dados seriam publicados em seu site de vazamento. O site de vazamentos foi ao ar em 23 de fevereiro de 2023, e os dados ainda estavam disponíveis publicamente no final de março de 2023.
  

No passado, os agentes de ameaças frequentemente distribuíam documentos do ^Microsoft® Office contendo macros infectadas que eram executadas automaticamente quando a vítima abria o documento. Em meados de 2022, a Microsoft desativou a execução automática de macros do Office, tornando esses ataques menos bem-sucedidos. Como resultado, os agentes de ameaças procuraram novas maneiras de explorar o popular software de local de trabalho.

Neste período do relatório, houve um aumento no uso de anexos do ^{Microsoft® OneNote46} (um aplicativo de anotações digitais no pacote Office ^365® ) para distribuir malware e ransomware. Os atacantes adicionam anexos do OneNote que contêm cargas úteis como executáveis do Windows, arquivos em lote, scripts do Visual Basic ou arquivos de aplicativos HTML a campanhas de phishing e mal-spam.

Quando uma vítima abre um anexo mal-intencionado do OneNote, ocorre o próximo estágio da infecção, que frequentemente é o download e a implantação de malware comum. Os agentes de ameaças conhecidos por abusar dos anexos do OneNote incluem Agent Tesla, AsyncRAT, IcedID, FormBook, RemcosRAT, RedLine, Qakbot e outros.

Nossa previsão:

Uma das principais características da invasão da Ucrânia pela Rússia incluiu ataques cibernéticos contra a infraestrutura militar e civil ucraniana. Se as hostilidades continuarem, é provável que vejamos esse padrão de ataques cibernéticos direcionados se repetir.

Resultado:

Enquanto o conflito na Ucrânia continua, os ataques contra a infraestrutura digital e física essencial da região também continuam. Em uma reunião em novembro de ²⁰²²⁴⁸ com os ministros de energia da UE, o ministro de energia da Ucrânia, German Galushchenko, sugeriu que grande parte da infraestrutura civil havia sido danificada ou destruída e que os ataques não haviam cessado.

Nossa previsão:

As operações de ransomware, incluindo ataques direcionados a hospitais e organizações médicas, continuarão, especialmente em países que apoiam ou fornecem financiamento à Ucrânia.

Resultado:

Os ataques de ransomware continuaram neste trimestre, embora não estejam claros os motivos que não sejam financeiros. O proeminente grupo de ransomware LockBit esteve ativo nesse período do relatório e pode ter atacado um total de mais de 1.500 vítimas. O grupo não tem escrúpulos aparentes em atacar organizações médicas e de saúde, e as vítimas incluíam provedores de serviços de saúde sediados nos EUA.

Os ataques dos operadores de ransomware BlackCat também aumentaram, visando principalmente vítimas sediadas nos EUA. Além disso, o ransomware ESXiArg, que afeta centenas de sistemas vulneráveis e sem correção, foi motivo de preocupação durante o período do relatório.

Nossa previsão:

Os ataques cibernéticos à infraestrutura essencial continuarão. A IA pode ser cada vez mais usada não apenas para automação de ataques, mas também para desenvolver ataques avançados de deepfake.

Resultado:

A infraestrutura crítica sempre será um alvo para os agentes de ameaças com motivação financeira e política, e o uso de deepfakes no cenário geral de ameaças ganhou força significativa. A equipe de Pesquisa e Inteligência sobre Ameaças do site BlackBerry observou fraudes complexas de criptomoedas que utilizam deepfakes e estratagemas semelhantes para promover software crackeado que foi contaminado com malware.

À medida que o conflito continua, os ataques cibernéticos contra a Ucrânia também continuarão. O Centro de Proteção Cibernética do Estado Ucraniano relatou um aumento de quase três vezes nos ataques ^{cibernéticos49} em 2022 em relação ao ano anterior, com um ^aumento significativo de 26%50 nos ataques originados de endereços IP baseados na Rússia.

Em janeiro de 2023, a ESET documentou um novo malware wiper chamado SwiftSlicer, que é atribuído ao infame Sandworm Group. Esse malware compilado pela Golang foi o mais recente em uma longa ^linha51 de limpadores e destrói dados quando implantado em uma rede-alvo.

Como os ataques cibernéticos são um elemento bem ^{documentado52} das campanhas militares russas, é provável que os ataques contra a Ucrânia continuem.

O chatbot de IA interativo ^ChatGPT53 foi lançado mundialmente em novembro de 2022. Os primeiros ^relatos54 de criminosos cibernéticos testando e discutindo seu potencial de uso em fraudes e criando cepas básicas de malware começaram em dezembro de 2022. Em janeiro de 2023, ^{pesquisadores55} demonstraram que o ChatGPT poderia ajudar a escrever códigos maliciosos complexos com recursos polimórficos.

À medida que os bots com tecnologia de IA, como o ChatGPT, se tornam mais avançados e mais comuns, seus recursos serão inevitavelmente usados para fins maliciosos. A defesa contra essas ameaças crescentes exige recursos de prevenção e detecção, além de inteligência eficaz contra ameaças.

Os ataques de malware de commodities nos setores de manufatura e saúde dominaram nossa telemetria no período do relatório. Esses ladrões de informações de commodities foram usados como uma ferramenta para roubo de dados e para obter credenciais de acesso para facilitar as invasões de rede. Esse tipo de acesso é vendido com frequência por meio de serviços de IAB, e os registros de infostealer são vendidos com frequência em mercados clandestinos. Em muitos casos, as violações bem-sucedidas levaram a ataques subsequentes, como a implantação de ransomware, que amplificam o impacto da invasão inicial.

Apesar do aumento dos esforços de segurança, os ataques cibernéticos direcionados aos parceiros da cadeia de suprimentos continuarão sendo uma ameaça significativa nos próximos três meses. Embora todos os setores corram o risco de ataques à cadeia de suprimentos, o setor de manufatura é um alvo particularmente atraente para agentes de ameaças com motivação financeira e agentes patrocinados pelo Estado, devido aos seus ativos financeiros, patentes e outras propriedades intelectuais.

Os recentes ataques de ransomware que tiveram como alvo as cadeias de suprimentos do setor automotivo demonstram o possível impacto desses ataques no setor de manufatura como um todo. As interrupções na cadeia de suprimentos afetam não apenas a empresa visada, mas todas as outras organizações e sistemas da cadeia de valor do setor.

Esperamos que os ataques à cadeia de suprimentos continuem, assim como o uso de IABs para facilitar a implantação de ransomware.