Relatório de inteligência sobre ameaças globais

A inteligência contra ameaças pode ser considerada "a arte de pegar o adversário de surpresa". Antecipar, mitigar e prevenir surpresas na forma de ataques cibernéticos é a principal missão de um programa prático de inteligência contra ameaças.

Para atingir esse objetivo, é necessária uma abordagem proativa que responda a perguntas essenciais como as seguintes: Quais agentes de ameaças têm maior probabilidade de causar impacto em minha organização? Quais são suas motivações, objetivos e capacidades? Como eles se comportam e que armas cibernéticas usam para atingir esses objetivos? E, o mais importante, que contramedidas acionáveis posso implementar para melhorar os recursos de defesa cibernética da minha organização?

Nossa equipe tem o orgulho de lançar nosso primeiro Relatório de Inteligência sobre Ameaças Globais à Segurança Cibernética BlackBerry . A missão desse relatório é fornecer inteligência acionável sobre ataques direcionados, agentes de ameaças motivados por crimes cibernéticos e campanhas direcionadas a organizações como a sua, para que você possa tomar decisões bem informadas e adotar ações eficazes imediatas.

Nesta primeira edição, você encontrará relatórios de alguns dos principais pesquisadores de ameaças e analistas de inteligência da equipe de Pesquisa e Inteligência sobre Ameaças do site BlackBerry , especialistas de classe mundial que entendem não apenas as ameaças técnicas, mas também os desenvolvimentos geopolíticos locais e globais e seu impacto nos modelos de ameaças organizacionais em cada região. Para produzir este relatório (que abrange os 90 dias entre 1º de setembro e 30 de novembro de 2022), a equipe aproveitou os dados e a telemetria obtidos de nossos próprios produtos e recursos analíticos orientados por inteligência artificial (IA), complementados por outras fontes de inteligência públicas e privadas.

Alguns dos destaques da pesquisa nesse relatório incluem:

• 90 dias em números. Uma visão geral do período de 90 dias do relatório em estatísticas, incluindo o número de amostras exclusivas de malware que o BlackBerry impediu de afetar nossos clientes e a distribuição geográfica desses ataques. Veja uma prévia: nossa tecnologia bloqueou uma média de 62 novas amostras maliciosas por hora, ou aproximadamente uma nova amostra por minuto.

• Armas mais comuns. Informações sobre as armas mais comuns usadas em ataques cibernéticos, incluindo o ressurgimento de carregadores mal-intencionados como o Emotet, a ampla presença do Qakbot no cenário de ameaças cibernéticas e o aumento de downloaders como o GuLoader.

• O acesso remoto aumenta os ladrões de informações. Com o aumento pós-pandemia do trabalho remoto e híbrido, a necessidade de acessar redes internas de fora se tornou generalizada. Os atacantes estão tirando proveito das novas possibilidades de acesso remoto usando ladrões de informações (infostealers) para roubar credenciais corporativas e vendê-las no mercado negro. Nosso relatório discute alguns dos infostealers mais predominantes e difundidos que vimos serem implantados durante esse período.

• Nenhuma plataforma é "segura". Os agentes de ameaças têm várias estratégias para atingir diferentes plataformas de servidores, desktops e dispositivos móveis. Por exemplo, apesar da opinião predominante, o macOS não é uma plataforma "mais segura": há uma abundância de malware e vulnerabilidades do macOS. Outros tópicos abordados incluem tendências como o número cada vez maior de ataques contra plataformas Linux; a maneira como linguagens de programação menos comuns, como GoLang, estão sendo usadas para desenvolver malware entre plataformas; e uma análise aprofundada das ameaças que afetam os dispositivos móveis que executam Android e iOS.

• Perspectiva exclusiva do setor. Devido à nossa forte presença nos setores de segurança cibernética e de Internet das Coisas (IoT), o site BlackBerry está em uma posição única para descobrir ameaças a setores como o automotivo, que não são discutidas com frequência em outros relatórios de ameaças. Esta edição inclui informações sobre as tendências de segurança cibernética que observamos e que afetarão o setor automotivo, bem como os setores de saúde e financeiro.

• Principais agentes de ameaças e contramedidas. Nossa telemetria também revelou as atividades de muitos agentes de ameaças diferentes. O relatório inclui informações sobre algumas de suas táticas, técnicas e procedimentos (TTPs) mais comuns, bem como links para listas públicas de contramedidas aplicadas mapeadas para o MITRE ATT&CK e o MITRE D3FEND. Nosso objetivo é facilitar a atualização de suas defesas organizacionais e modelos de ameaças com base nessas informações acionáveis.

• Conclusão e visão de futuro. Por fim, apresentamos nossas conclusões e a previsão de ameaças cibernéticas para 2023.

Gostaria de agradecer aos nossos pesquisadores globais de elite da equipe de Pesquisa e Inteligência sobre Ameaças do BlackBerry que tornaram esse relatório possível e continuam a produzir vários relatórios de pesquisa "pioneiros no mercado", ao mesmo tempo em que aprimoram continuamente os produtos e serviços orientados por IA do BlackBerrye do Cylance .

Ismael Valenzuela
Vice-presidente de Pesquisa e Inteligência sobre Ameaças da BlackBerry

Twitter: @aboutsecurity

BlackBerry Autores de inteligência sobre ameaças à segurança cibernética

• Dmitry Bestuzhev
• Pedro Drimel
• Jacob Faires
• Reitor Dado
• Eoin Healy
• Geoff O'Rourke
• José Luis Sanchez

O centenário setor automotivo está no meio de uma grande revolução tecnológica. Avanços tecnológicos revolucionários estão permitindo o desenvolvimento de novos tipos de veículos, sistemas e serviços. Essa transformação digital oferece muitos benefícios, mas também introduziu novos desafios de segurança cibernética.

À medida que os veículos se tornam mais conectados e autônomos, eles se tornam potencialmente mais vulneráveis a ameaças cibernéticas e agentes de ameaças. Além disso, os sistemas de fabricação cada vez mais complexos que produzem veículos também correm o risco de sofrer ataques cibernéticos.

Nos anos anteriores, o setor automotivo não foi relativamente afetado por ameaças de grande escala e altamente divulgadas. No entanto, entidades mal-intencionadas começaram a visar não apenas os fabricantes de automóveis, mas o setor como um todo, por meio de esforços para interromper as operações, roubar dados confidenciais e comprometer as cadeias de suprimentos. Em 2022, observamos um aumento tanto no número de entidades mal-intencionadas que visam o setor automotivo quanto na quantidade de interrupções que elas causam.

Para se proteger contra essas ameaças, as empresas do setor automotivo devem reconhecer os possíveis riscos inerentes a um futuro automotivo mais conectado e implementar medidas sólidas de segurança cibernética para proteger veículos e motoristas.

Devido à sua escala global, o setor automotivo apresenta um número imenso de endpoints a serem monitorados e protegidos. Ele inclui todas as organizações da cadeia de valor, desde as empresas que adquirem matérias-primas de construção até as concessionárias e os proprietários de automóveis. A vasta superfície de ataque digital dessa complexa cadeia de suprimentos deve ser protegida para manter a operação desse importante negócio global.

Os ataques entre 1º de setembro e 30 de novembro de 2022 variaram de spearphishing sofisticado a malspam de commodities, indicando que o setor automotivo está constantemente sob ataque de adversários cibernéticos avançados e novatos.

Os downloaders de malware são predominantes em quase todos os tipos de ataques cibernéticos e podem variar em aparência, tipo de arquivo e sofisticação relativa das técnicas que usam para entrar nos sistemas. Agentes de ameaças enganosos induzem as vítimas inconscientes a instalar o downloader como a primeira parte de um ataque cibernético. Depois que o código é executado, os downloaders instalam códigos maliciosos adicionais e cargas úteis para realizar ataques cibernéticos de maior alcance.

O GuLoader é um excelente exemplo de um downloader que teve como alvo o setor automotivo durante o período deste relatório. O malware foi identificado pela primeira vez em 2019 e continua a evoluir. O GuLoader geralmente se faz passar por documentos digitais ou executáveis legítimos antes de baixar outros malwares de commodities.

Os dados valiosos e, muitas vezes, proprietários do setor automotivo fazem dele o principal alvo dos ladrões cibernéticos. Esses dados são uma mercadoria que, muitas vezes, pode ser mais valiosa do que os próprios veículos.

Os infostealers de malware são um tipo de código malicioso que busca e exfiltra ilicitamente dados do sistema de uma vítima que podem ser usados para apoiar objetivos financeiros e/ou táticos. Os infostealers podem ser usados em conjunto com RATs, como o Remcos, como malware de commodity que é frequentemente vendido como um serviço para que outros agentes de ameaças obtenham acesso malicioso e controle dos sistemas das vítimas.

O ransomware é o pesadelo de toda equipe de segurança, e os agentes de ameaças sabem que o ransomware direcionado às cadeias de suprimentos do setor pode ser devastador. No setor automotivo, um ataque de ransomware em qualquer estágio da cadeia de suprimentos pode interromper a produção ou a distribuição, causando perda de receita e de reputação em todos os ecossistemas do setor.

O ransomware BlackCat foi observado em alguns dos ataques de ransomware mais notórios ao longo de 2022. Frequentemente atacando empresas de pequeno e médio porte, os grupos de crimes cibernéticos que usam esse RaaS específico parecem ter motivação financeira e têm como alvo principal a manufatura. O ransomware BlackCat se infiltra em um ambiente, exfiltra dados valiosos e, em seguida, criptografa os sistemas conectados.

O ALPVH (o grupo de ameaças por trás do ransomware BlackCat) frequentemente usa estratagemas de dupla extorsão, muitas vezes divulgando os dados das vítimas comprometidas por meio de seu site de vazamento (um site que hospeda documentos privados e potencialmente confidenciais roubados). Seu objetivo é pressionar a organização visada a pagar o resgate, capitalizando o medo de que dados mais valiosos sejam publicados ou vendidos a ^{concorrentesxvi}.

Os aplicativos de uso duplo geralmente são ferramentas e softwares legítimos que oferecem recursos ou funções que os agentes de ameaças podem usar indevidamente ou abusar. O termo "living off the land" (LotL) descreve as ações dos agentes de ameaças que abusam de ferramentas legítimas para contornar os sistemas de segurança e evitar a detecção.

Os agentes de ameaças dependem cada vez mais de ferramentas de uso duplo em vez de código malicioso para se propagar em um ambiente, exfiltrar dados valiosos ou até mesmo implantar malware como uma ferramenta "permitida". Os administradores de sistemas devem remover todas as ferramentas de uso duplo para as quais não haja casos de uso válidos ou justificativa comercial.

Tanto a pandemia quanto a invasão russa na Ucrânia revelaram que as cadeias de suprimentos são frágeis. O setor automotivo não está imune a atrasos, escassez e interrupções que outros setores enfrentam.

Devido às complexidades do setor, muitas empresas dependem de uma estratégia de cadeia de suprimentos just-in-time (JIT) para manter seus vastos ecossistemas de fornecedores, peças e fabricantes, criando uma superfície de ataque extremamente grande que pode ser explorada por agentes de ameaças. A marca registrada da estratégia JIT é que os produtos não são fabricados até que sejam necessários. Como resultado, a fabricação pode ser retardada ou interrompida se os componentes e materiais necessários não estiverem imediatamente disponíveis. Como resultado, um ataque cibernético na cadeia de suprimentos pode efetivamente interromper a produção de automóveis.

Em vez de visar diretamente os fabricantes de automóveis, que podem estar fortemente protegidos contra invasões, os adversários mal-intencionados podem, em vez disso, atacar seus vários fornecedores, especialmente aqueles com menos segurança cibernética. Por exemplo, em março de 2022, sistemas de arquivos comprometidos em fornecedores de plásticos e eletrônicos resultaram em atrasos na produção de cerca de 13.000 veículos em uma empresa automotiva japonesa. De acordo com um porta-voz citado pela Automotive News Europe, a cadeia de suprimentos da empresa automotiva inclui 60.000 empresas em quatro ^níveisxxvii. Ataques cibernéticos em qualquer ponto de uma cadeia de suprimentos desse porte podem afetar a capacidade de outras empresas de receber peças e materiais necessários.

O setor de saúde está enfrentando um número cada vez maior de ameaças cibernéticas, pois os agentes de ameaças visam as organizações de saúde por causa de seus dados altamente confidenciais e informações valiosas. Esse é um problema significativo para os prestadores de serviços de saúde, pois um ataque cibernético bem-sucedido pode ter consequências graves, incluindo a perda ou a publicação de dados confidenciais de pacientes, perdas financeiras e até mesmo danos físicos diretos aos pacientes. O setor de saúde é particularmente vulnerável a essas ameaças devido a uma combinação de fatores, incluindo o uso generalizado de tecnologia médica com uma longa vida útil, a natureza complexa e frequentemente interconectada dos sistemas de saúde e os grandes volumes de dados confidenciais que são coletados e armazenados rotineiramente. É imperativo que os provedores de serviços de saúde compreendam os perigos do atual cenário de ameaças cibernéticas e protejam proativamente a si mesmos e a seus pacientes contra possíveis danos.

De modo geral, o ransomware ainda representa a maior ameaça para o setor de saúde, e os grupos de ameaças que dependem do ransomware ainda estão muito ativos nesse setor, como podemos ver pelo ataque de ransomware ao CommonSpirit Health em outubro, quando os dados pertencentes a mais de 600.000 pacientes foram ^{comprometidosxxix}. No passado, alguns grupos de RaaS, como o Maze, indicaram que não atacariam hospitais, mas essas promessas não podem ser garantidas. Com a diversidade de vários grupos de RaaS e a proliferação de modelos de afiliados, o grupo que executa um ataque pode não ser o mesmo grupo que desenvolveu o malware, o que torna o rastreamento e a atribuição uma preocupação.

De acordo com nossa telemetria, as soluções do Cylance Endpoint Security bloquearam 7.748 amostras exclusivas de malware direcionadas ao setor de saúde durante esse período, o que representa uma média de mais de 80 amostras exclusivas de malware por dia. O cavalo de Troia mais popular foi o Qakbot, que tem sido usado por criminosos cibernéticos pelo menos desde 2012 e representa um alto risco para o setor de saúde. Em 2022, o Qakbot foi usado principalmente por afiliados que implantaram o ransomware Black Basta. Como o Emotet não operou muitas campanhas após seu recente desligamento de quatro meses e o TrickBot parece mais focado em melhorar seu malware Bumblebee, acreditamos que o Qakbot continua a ser o cavalo de Troia mais ativo que facilita o acesso à rede de saúde para afiliados de RaaS e IABs.

O Meterpreter (uma carga útil do Metasploit que fornece um shell interativo para o invasor) e o BloodHound também estavam ativos durante esse período. Detectamos um ataque que usava o Meterpreter juntamente com a execução do SharpHound, um coletor do BloodHound que é comumente usado para movimentação lateral dentro de uma rede após a ocorrência de um ataque. A Agência de Segurança Cibernética e de Infraestrutura (CISA) recomenda que os administradores de rede e de sistema executem intencionalmente o BloodHound para entender possíveis caminhos de ataque em seus ^ambientesxxx.

Também observamos o TinyNuke eliminando o Netwire RAT. Originalmente um cavalo de Troia bancário com funções semelhantes às do ZeuS, o TinyNuke é um cavalo de Troia completo que inclui o controlador de dispositivo do servidor VNC e a funcionalidade SOCKS reversa. O TinyNuke também foi usado pelo Kimsuky ^Groupxxxi e atribuído à República Popular Democrática da Coreia (RPDC). Ao examinar esse ataque, descobrimos que o TinyNuke baixou e executou o Netwire RAT e se conectou a um domínio hospedado no DuckDNS, que é comumente usado por RATs.

BlackBerry Os pesquisadores também encontraram uma instância em que um agente de ameaça desconhecido implantou o PlugX RAT, que é comumente usado por vários agentes de ameaça de estado-nação, incluindo o Mustang Panda (saiba mais em nosso relatório público), indicando que tanto os criminosos cibernéticos quanto os agentes de estado-nação estão interessados em atacar o setor de saúde. E, embora não tenhamos visto infostealers como o Redline e o Raccoon visando especificamente o setor de saúde, encontramos uma instância do GuLoader, um downloader comumente usado por criminosos cibernéticos para implantar infostealers.

Historicamente, o setor financeiro tem sido alvo de criminosos cibernéticos, bem como de agentes de ameaças de estados-nação que residem em áreas afetadas por sanções financeiras. Durante esse período de 90 dias, as soluções do Cylance Endpoint Security bloquearam 9.721 amostras de malware exclusivas lançadas contra alvos do setor financeiro, com uma média de cerca de 108 amostras maliciosas exclusivas identificadas por dia.

Diferentes agentes de ameaças, inclusive agentes de estados-nação, têm contado com ferramentas comerciais de teste de penetração (pen testing), como o Cobalt Strike e outras, para confundir a linha de atribuição entre os criminosos cibernéticos e as atividades de teste legítimas. Essa confusão dá aos criminosos cibernéticos mais tempo para operar em uma rede depois de obterem acesso. Em 2022, testemunhamos vários incidentes em que softwares comerciais de simulação de adversários, incluindo o Cobalt Strike e softwares de teste de caneta Metasploit, Mimikatz e Brute Ratel, foram usados dentro de instituições financeiras. O Brute Ratel é uma ferramenta de simulação de ataques de adversários, e tanto os atacantes quanto os profissionais de segurança costumam usar o Mimikatz para extrair informações confidenciais, como senhas e credenciais, da memória de um sistema. Até o momento, não se sabe se a presença do Mimikatz e do Brute Ratel faziam parte de atividades legítimas de pen testing ou de ataques reais.

Entre outras ameaças importantes, interrompemos os infostealers de acesso inicial, como o Redline Stealer. É de conhecimento público que as ferramentas de acesso inicial estão em alta demanda porque obtêm acesso às redes das vítimas que podem ser vendidas. Muitos agentes de ameaças, incluindo o grupo Lapsus$, dependem de infostealers para obter acesso às empresas. (O grupo Lapsus$ é um grupo internacional de ameaças com foco em extorsão, conhecido por vários ataques cibernéticos contra empresas e órgãos governamentais).

Cylance As soluções de segurança de endpoints também impediram ataques diversos relacionados à mineração de criptografia e ataques a ecossistemas Linux, que são alvos atraentes devido à relativa falta de visibilidade em comparação com o mundo Windows. Um exemplo é o backdoor Rekoobe, um cavalo de Troia do Linux que tem atacado ativamente as vítimas em todo o mundo há pelo menos sete ^anosxxxii.

Entre 1º de setembro e 30 de novembro de 2022, a equipe de Pesquisa e Inteligência sobre Ameaças do BlackBerry rastreou, descobriu, pesquisou e publicou as informações mais recentes sobre o cenário de ameaças cibernéticas em todo o mundo. A economia mundial ainda está se recuperando após a pandemia da COVID-19, e os eventos geopolíticos atuais na Europa Oriental e as relações Leste-Oeste continuam incertas. Esses fatores convergem para criar um solo fértil para os agentes de ameaças que tentam explorações financeiras e de motivação política.

Neste trimestre, vimos grupos APT afiliados ao Estado, gangues de ransomware com motivação financeira e muitos outros agentes de ameaças de todos os tamanhos, capacidades e motivações conduzindo várias campanhas. Veja abaixo uma seleção de alguns dos ataques mais importantes no cenário global e nossas descobertas mais significativas durante o trimestre.

O ransomware DJVU se disfarça de serviços ou aplicativos legítimos e geralmente é empacotado com arquivos de isca para parecer benigno. Uma evolução do notório ransomware STOP, o DJVU passou por muitas iterações desde sua criação em 2018. O ransomware usa a cifra de fluxo de criptografia Salsa20 para sua rotina de criptografia. Depois de realizar várias verificações antianálise e anti-sandbox para confirmar que está sendo executado em um sistema real, o malware criptografa vários tipos de arquivos antes de gerar uma nota de resgate com instruções para a vítima recuperar seus arquivos. Recentemente, a ameaça se tornou ainda mais prejudicial quando os agentes da ameaça adicionaram recursos de download pré-criptografia ao ransomware.

Neste trimestre, a DJVU baixou e implantou o malware infostealer em aparente colaboração com os grupos de ameaças por trás da variante Arkei Vidar Stealer e Redline Stealer, criando caminhos adicionais para que os agentes de ameaças se beneficiem às custas das vítimas.

No início de outubro, publicamos os resultados de vários meses de rastreamento do grupo Mustang Panda APT. Também conhecido como Bronze President, Red Delta e Honeymyte, esse grupo é publicamente atribuído à China.

Durante nossa investigação, descobrimos uma campanha direcionada a Myanmar. A campanha se fazia passar por agências de notícias populares de Mianmar e tinha como alvo várias entidades, inclusive um portal VPN do governo. O vetor de infecção nessa campanha usava iscas de phishing com anexos maliciosos que enganavam os usuários para que os executassem, o que permitia que os atacantes ganhassem uma posição no sistema.

A cadeia de execução continha vários componentes, incluindo um utilitário benigno legítimo que é suscetível ao sequestro da ordem de pesquisa de DLL, além de um carregador de DLL mal-intencionado e uma carga útil DAT criptografada. Depois que o carregador de DLL malicioso é carregado lateralmente, uma carga útil PlugX é carregada na memória. O vetor de infecção, a cadeia de execução, o uso do PlugX e as TTPs gerais estão em conformidade com a metodologia de campanha testada e comprovada do Mustang Panda.

O BianLian é um ransomware de ação extremamente rápida, escrito na linguagem de programação Go (GoLang). Neste white paper, previmos o atual aumento do uso mal-intencionado de linguagens menos usadas, como GoLang. Os agentes de ameaças reconhecem o potencial dessas linguagens para criar malware, especialmente ransomware sob medida. A GoLang oferece um suporte particularmente robusto para concorrência, o que pode acelerar os ataques ao permitir que várias funções mal-intencionadas sejam executadas independentemente ao mesmo tempo.

O BianLian é uma ameaça relativamente nova que tem como alvo uma ampla gama de setores. O grupo por trás do malware parece ter motivação puramente financeira, e os ataques relacionados ao BianLian continuaram até o final de 2022. O grupo parece explorar intensamente os sistemas e as redes que acessa. Seu método típico de implementação é a infiltração manual de sistemas para obter acesso inicial, seguida pelo abuso de LOLBins para explorar as redes e os sistemas. Depois de coletar essas informações, eles implantam seu ransomware para obter ganhos financeiros.

Em outubro, o site BlackBerry descobriu o até então desconhecido RomCom RAT direcionado a instituições militares ucranianas. O mesmo agente de ameaças era conhecido por implantar versões falsificadas do popular software Advanced IP Scanner antes de mudar seus esforços para o PDF Filler (outro aplicativo popular) e pode ter desenvolvido essas explorações por conta própria.

O RomCom RAT tenta assumir o controle malicioso dos dispositivos afetados. O vetor de infecção inicial que observamos foi um e-mail com um link incorporado para um documento falso em ucraniano chamado Наказ_309.pdf (Order_309.pdf em inglês) que liberou o downloader do próximo estágio.

Durante o período do relatório, esse agente de ameaças foi observado desenvolvendo ativamente novas técnicas direcionadas a vítimas em todo o mundo.

Após uma série de ataques à Ucrânia, o mesmo grupo lançou novas campanhas de ataque que se aproveitaram de marcas populares de software. A equipe de Pesquisa e Inteligência sobre Ameaças do site BlackBerry descobriu as campanhas ao analisar artefatos de rede identificados durante nossa pesquisa anterior sobre o RomCom RAT.

Nossos pesquisadores descobriram que o agente da ameaça se fazia passar pelo SolarWinds Network Performance Monitor, pelo KeePass Open-Source Password Manager e pelo PDF Reader Pro em suas campanhas. As campanhas usavam essas empresas legítimas como fachadas e criavam sites falsos que imitavam os reais para induzir as vítimas a fazer o download do malware Remcos RAT. O agente de ameaças RomCom continuou a implantar ativamente novas campanhas direcionadas a vítimas na Ucrânia e pode estar expandindo para alvos de língua inglesa em todo o mundo em sua última série de ataques.

A equipe de Investigação de Ameaças do site BlackBerry monitorou a família de ransomware ARCrypter durante todo o ano de 2022. Em agosto, uma variante desconhecida que BlackBerry denominou ARCrypter foi encontrada visando instituições latino-americanas. O INVIMA (Instituto Nacional de Vigilância de Alimentos e Medicamentos da Colômbia) foi temporariamente fechado em outubro devido a um ataque cibernético ^{relatadoxxxvi}.

Por meio de nossos esforços de caça a ameaças, o BlackBerry identificou outras amostras de interesse para esse ransomware. Considerando o período do ataque e o conteúdo da nota de resgate que menciona o INVIMA, concluímos com um alto grau de certeza que o ransomware ARCrypter foi usado no ataque cibernético do INVIMA. Pesquisas adicionais ajudaram a descobrir dois conjuntos de arquivos: um dropper de malware adicional e um criptografador de arquivos.

Em dezembro, nosso monitoramento contínuo do Mustang Panda revelou uma campanha direcionada a entidades em vários países e continentes.

Essa campanha se baseou em iscas temáticas (como um arquivo intitulado "Political Guidance for the New EU Approach Towards Russia.rar") relacionadas a eventos geopolíticos atuais. A isca continha um documento de isca e um arquivo LNK que seguia a mesma convenção de nomenclatura do arquivo RAR da isca. Os componentes adicionais incluíam utilitários legítimos que são suscetíveis ao sequestro de ordens de pesquisa de DLL, carregadores de DLL maliciosos e cargas úteis de DAT semelhantes aos componentes que o grupo usou no passado.

O objetivo da cadeia de execução é entregar uma carga útil do PlugX na memória do sistema host que fornece recursos completos de acesso remoto aos hosts comprometidos.

Embora a cadeia de execução principal e os TTPs dessa campanha já tenham sido vistos antes, esses ataques demonstraram mudanças sutis, incluindo uma pequena alteração no fluxo de execução, de modo que a função EnumSystemCodePagesW foi usada para a execução de shellcode em vez de EnumThreadWindows. Essa modesta modificação exigiu ajustes na conscientização defensiva e nas contramedidas para garantir a proteção mais eficaz.

Ao utilizar um certificado SSL de domínio exclusivo, conseguimos descobrir 15 endereços IP adicionais, cinco dos quais eram servidores C2 para o grupo Mustang Panda, que fornecem arquivos semelhantes em conformidade com a mesma cadeia de ataque e TTPs para outros locais e vítimas.

O alcance global das campanhas indica que o grupo tem recursos e capacidades poderosos. Não esperamos que esse seja seu último ataque.

O último trimestre (e 2022 em geral) revelou tendências significativas de segurança cibernética que provavelmente continuarão em 2023 e nos anos seguintes. O número de agentes de ameaças com motivação política continua a crescer, com ameaças que incluem a distribuição de desinformação e desinformação por meio de sites de notícias falsas, o rastreamento de ações e comportamentos de jornalistas e dissidentes e tentativas de ataques diretos a organizações governamentais e militares.

Em todos os setores, os agentes de ameaças usaram uma série de métodos que incluem ferramentas e técnicas recém-identificadas, bem como modificações nas ferramentas existentes que lhes permitem evitar melhor a detecção. O crescimento dos ataques direcionados nos setores automotivo, de saúde e financeiro evidenciou a necessidade crítica de proteger as superfícies de ameaças expansivas e vulneráveis desses setores.

A defesa da sua organização contra malware e ataques cibernéticos requer um conhecimento profundo de como os agentes de ameaças estão atacando o seu setor, as ferramentas que eles usam e suas possíveis motivações. Esse conhecimento detalhado fornece inteligência contextual, antecipatória e acionável sobre ameaças cibernéticas que pode reduzir o impacto das ameaças em sua organização.

• Além da motivação financeira, um número cada vez maior de agentes de ameaças está agora visando vítimas individuais e institucionais com base em circunstâncias econômicas, geopolíticas e sociais. Os defensores devem considerar proativamente o possível impacto dos desenvolvimentos econômicos e políticos sobre a segurança cibernética.
• Os agentes de ameaças estão usando cada vez mais linguagens de programação menos comuns ou exóticas, como GoLang e Rust, para desenvolver novos malwares. Os caçadores de ameaças devem permanecer vigilantes e aprender como o uso de novas linguagens de programação pode se manifestar em ataques. Como o GoLang oferece suporte à codificação entre plataformas, mais ataques ao Linux e ao macOS poderão ocorrer no futuro.
• O acesso mais amplo às ferramentas de acesso inicial resultou em grandes incidentes em 2022, assim como a disponibilidade de ransomware como um serviço gerenciado para grupos sem habilidades técnicas suficientes para criar seu próprio malware. Como resultado, o uso de ransomware por agentes de ameaças de estado-nação cresceu.
• O setor automotivo foi fortemente afetado por uma grande variedade de ataques cibernéticos em 2022. O comprometimento de fabricantes de grande porte e fornecedores do setor resultou em paralisações em várias linhas de produção. É provável que essas sequências de ataques continuem em 2023.
• Os ataques à cadeia de suprimentos que abusam de aplicativos legítimos para fornecer cargas maliciosas podem ser atenuados e até mesmo evitados com a implementação de políticas de confiança zero que exigem autenticação e autorização contínuas para acessar redes e aplicativos.

• Até o momento, uma das principais características da invasão da Ucrânia pela Rússia incluiu ataques cibernéticos contra a infraestrutura militar e civil ucraniana. Se as hostilidades continuarem, é provável que vejamos esse padrão de ataques cibernéticos direcionados se repetir.
• As operações de ransomware direcionadas a hospitais e organizações médicas continuarão, especialmente em países que apoiam ou financiam a Ucrânia.
• Os ataques cibernéticos à infraestrutura essencial continuarão. A IA pode ser cada vez mais usada não apenas para automação de ataques, mas também para desenvolver ataques avançados de deepfake.
• Os ataques a instituições financeiras europeias, como o ataque de setembro de 2022 à Revolut (uma empresa e aplicativo de fintech popular), sediada no Reino Unido, que comprometeu mais de 50.000 registros de clientes, também podem continuar.
• Nas Américas, prevemos uma explosão de ataques comerciais de spyware móvel. Esperamos que os agentes de ameaças no Brasil expandam ainda mais os ataques bancários com cavalos de Troia dos sistemas de desktop para os dispositivos móveis e continuem a visar as vítimas na América Latina. De fato, em dezembro de 2022, foi revelada a família de malware ^BrasDexxxxix, que visa especificamente os serviços bancários brasileiros, incluindo o PIX, um sistema de pagamento semelhante ao Zelle nos EUA.
• Os ataques aos sistemas Linux podem continuar a passar despercebidos, especialmente aqueles que virtualizam sistemas, lançam ransomware e instalam backdoors nos sistemas-alvo.
• Esperamos mais ataques direcionados à infraestrutura de nuvem em todos os setores, à medida que os agentes de ameaças buscam obter mais visibilidade das organizações que pretendem prejudicar ou obter lucros.

©2023 BlackBerry Limited. As marcas comerciais, incluindo, entre outras, BLACKBERRY, EMBLEM Design e CYLANCE são marcas comerciais ou marcas registradas da BlackBerry Limited, suas subsidiárias e/ou afiliadas, usadas sob licença, e os direitos exclusivos a essas marcas comerciais são expressamente reservados. Todas as outras marcas comerciais pertencem a seus respectivos proprietários. A BlackBerry não se responsabiliza por nenhum produto ou serviço de terceiros. Este documento não pode ser modificado, reproduzido, transmitido ou copiado, em parte ou no todo, sem a permissão expressa por escrito da BlackBerry Limited.

Isenção de responsabilidade: as informações contidas neste relatório destinam-se apenas a fins educacionais. O site BlackBerry não garante nem se responsabiliza pela precisão, integridade e confiabilidade de quaisquer declarações ou pesquisas de terceiros aqui mencionadas. A análise expressa neste relatório reflete o entendimento atual das informações disponíveis por parte de nossos analistas de pesquisa e pode estar sujeita a alterações à medida que informações adicionais forem divulgadas. Os leitores são responsáveis por exercer sua própria diligência ao aplicar essas informações em suas vidas privadas e profissionais. O site BlackBerry não tolera qualquer uso malicioso ou indevido das informações apresentadas neste relatório.