Uma campanha conhecida como “Stayin' Alive” tem como alvo organizações governamentais e provedores de serviços de telecomunicações em toda a Ásia desde 2021.
Objetivo do ataque
Utilizando uma gama diversificada de malware "descartável" para evitar a detecção, a campanha concentra-se principalmente em entidades no Cazaquistão, Uzbequistão, Paquistão e Vietnã, com a Check Point, uma empresa de cibersegurança, monitorando essas atividades.
Os pesquisadores da Check Point notaram o uso de várias ferramentas personalizadas pelos agentes de ameaças nesta campanha. Essas ferramentas são projetadas para serem facilmente descartadas, tornando difícil associar ataques entre si ou com conjuntos de ferramentas conhecidos.
Modo de operação
O ataque inicia-se por meio de e-mails de spear-phishing direcionados a indivíduos específicos dentro de organizações-chave. Os e-mails induzem os destinatários a abrir um arquivo ZIP, contendo um arquivo executável com assinatura digital que corresponde ao contexto do e-mail e uma DLL maliciosa. Essa DLL introduz o malware “CurKeep” no sistema. O CurKeep, um backdoor de 10 kb, estabelece persistência, retransmite informações do sistema para um servidor de comando e controle (C2) e aguarda novas instruções.
Além do CurKeep, a campanha implanta ferramentas adicionais como carregadores CurLu, CurCore e CurLog, cada um com funcionalidades e mecanismos de infecção distintos. CurCore se destaca por poder criar arquivos, executar comandos remotos e manipular dados.
Outro backdoor distinto, 'StylerServ', funciona como um ouvinte passivo monitorando portas específicas para arquivos de configuração criptografados. Sua finalidade exata permanece não revelada, mas presume-se que sirva como mecanismo de configuração para outros componentes de malware.
A campanha adapta estas ferramentas a alvos regionais específicos, utilizando diversas amostras e variantes. Estas ferramentas identificadas podem representar apenas um segmento de uma campanha mais extensa que envolve ferramentas e métodos de ataque não descobertos.
Apesar da diversidade e customização dessas ferramentas, todas elas supostamente se conectam à mesma infraestrutura, anteriormente ligada ao ToddyCat, um grupo de ciberespiões chineses.
Um dos malwares notáveis descobertos é o 'Ninja Agent' , equipado com recursos de gerenciamento de arquivos e shell reverso.
ToddyCat também implantou outras ferramentas como LoFiSe, Cobalt Strike, DropBox Uploader e um backdoor UDP passivo nesses ataques, indicando a amplitude e complexidade de suas operações.
A prevenção é um fator crucial
RELIANOID oferece soluções de ponta projetadas para prevenir e mitigar ameaças cibernéticas sofisticadas como a campanha “Stayin' Alive” observada em toda a Ásia. Aproveitando inteligência avançada sobre ameaças e medidas de segurança adaptativas, RELIANOIDA plataforma da detecta e impede diversos malwares descartáveis usados nesses ataques, analisando a inspeção de conteúdo e impedindo o download de arquivos executáveis. Ao empregar monitoramento proativo, análise comportamental e protocolos de segurança personalizáveis, RELIANOID fortalece efetivamente redes e sistemas contra essas invasões cibernéticas em evolução. Baixe o balanceador de carga pronto para empresas e aproveite a experiência de confiabilidade do site.
Blogs Relacionados
