Malware Silencioso: Grupo Hacker Chinês Espiona Usuários por 3 Anos

Um relatório do Google Threat Intelligence Group (GTIG) expôs as ações de um grupo hacker chinês chamado APT24, que utilizou um malware para ciberespioangem durante três anos sem ser detectado. O malware, identificado como BadAudio, foi usado em campanhas que comprometeram computadores com Windows, utilizando métodos cada vez mais sofisticados ao longo do tempo.

De acordo com a agência de inteligência do Google, os criminosos começaram os trabalhos em novembro de 2022, modificando mais de 20 sites públicos e legítimos com a injeção de um código malicioso feito em JavaScript. O malware atacava os usuários exibindo um pop-up falso de atualização de software, fingindo legitimidade e influenciando a vítima a baixar o BadAudio sem que ela soubesse qual era a real intenção do recurso.

Técnicas de Ataque

O GTIG detectou que o APT24 usava o malware para identificar possíveis candidatos para o processo de espionagem. O software malicioso começava a agir por meio do sequestro da ordem de pesquisa de DLLs, o que permitia que um aplicativo legítimo levasse para o sistema um arquivo corrompido pelo vírus. Além disso, os hackers usavam uma técnica de ofuscação de código chamada “control flow flattening” para modificar a ordem natural das coisas na execução de um programa, impedindo que qualquer ação de engenharia reversa revertesse o problema.

Depois do processo inicial, o BadAudio infectava o sistema operacional, coletando detalhes básicos de estrutura, além de criptografar informações sensíveis para enviá-las a um centro de comando. Os especialistas do Google identificaram uma evolução nas técnicas de espionagem do grupo hacker chinês ao longo dos três anos de operação silenciosa.

Evolução das Técnicas de Espionagem

• O APT24 fazia operações isoladas de spearphishing, um tipo de phishing “personalizado” que foca em apenas uma única pessoa ou instituição específica para obter informações sigilosas e aplicar golpes.
• O grupo distribuía o BadAudio nessas campanhas de spearphishing pelo envio de e-mails para os alvos fingindo ser uma organização legítima de resgate de animais.
• Os cibercriminosos usavam serviços como Google Drive e o OneDrive para distribuir o malware, embora muitas das tentativas tenham sido detectadas pelo Google e ido direto para o spam antes de chegar aos usuários.

Apesar disso, a empresa reforçou como o APT24 conseguiu permanecer indetectável por anos justamente pelas técnicas sofisticadas de “invisibilidade”. Das oito amostras analisadas pelo GTIG, apenas duas foram sinalizadas como maliciosas após uma análise com mais de 25 plataformas de antivírus.

Este conteúdo pode conter links de compra.

Fonte: link