Relatório de pesquisa do Trellix Threat Labs: Abril de 2022

Carta de nosso cientista-chefe

Bem-vindo ao nosso mais recente relatório de ameaças.

Decorrido quase um trimestre do ano novo, não se pode dizer que tivemos um início de ano fácil. Estamos pouco a pouco saindo da pandemia, mas a incerteza em torno dos recentes conflitos na região da Eurásia domina nossas conversas e o nosso cotidiano.

Antes de tudo, a Trellix defende a paz. Não importa quem esteja envolvido em qualquer conflito, nossa missão é proteger nossos clientes e cumprir as leis internacionais. Nossa pesquisa e vigilância continuou enquanto preparávamos este relatório. Por exemplo, o grupo Lapsus$ atacou grandes corporações do mundo todo com um foco inicial em vítimas da América do Sul, vazando dados confidenciais, inclusive código-fonte e certificados.

Observamos que houve abuso desses certificados. Por exemplo, para assinar binários de malware, um método para parecer confiável para sistemas operacionais e produtos de segurança. Detalhes desse grupo, sua violação mais recente e contramedidas podem ser encontrados aqui.

Em nosso segundo relatório de ameaças desde a inauguração de nossa nova empresa, reconhecemos os eventos (cibernéticos) que dominaram as manchetes globais. Dos ataques contra a infraestrutura ucraniana ao malware HermeticWiper destruindo os setores de inicialização de qualquer máquina infectada, a segurança cibernética foi prioritária para muitos no novo ano. Também recapitulamos o quarto trimestre de 2021, no qual a vulnerabilidade Log4shell afetou centenas de milhões de dispositivos. Muitos agora estão se preparando para as novas ameaças do novo ano.

Há muitos anos a equipe do Trellix Threat Labs está na linha de frente, analisando e pesquisando ransomware. Trabalhando conjuntamente com o setor público, tivemos o orgulho de comemorar nosso sucesso quando, em dezembro de 2021, prisões foram decretadas e operações de ransomware foram interrompidas. Os recentes vazamentos de chats do grupo de ransomware Conti e do grupo de malware Trickbot revelaram o profissionalismo com que essas operações são conduzidas. Isso demonstra a necessidade de uma resposta unificada entre os setores público e privado para evitar as perturbações causadas por esses ataques.

Além disso, o blog do Trellix Threat Labs onde você encontra nosso conteúdo mais recente sobre ameaças, vídeos e links para o boletim de segurança.

Este relatório também destaca outros ataques e ameaças predominantes observados na Internet.

— Christiaan Beek
cientista-chefe

Christiaan Beek Twitter

Trellix Threat Labs descobre atividade suspeita da APT DarkHotel (atualização)

Em março, a Trellix descobriu uma campanha maliciosa de primeiro estágio visando hotéis de luxo em Macao, China, desde a segunda metade de novembro de 2021. O ataque começou com um e-mail de spear phishing direcionado para a equipe de administração do hotel, em cargos como vice-presidente de RH, gerente adjunto e gerente de front-office. Com base nos cargos, supomos que as pessoas visadas têm acesso suficiente à rede do hotel, incluindo os sistemas para reservas. Como funciona:

• O e-mail utilizado para esse ataque de spearphishing contém um anexo com uma planilha do Excel. A planilha do Excel é utilizada para enganar a vítima e ativar macros maliciosas incorporadas quando aberta.
• Essas macros ativam vários mecanismos detalhados na parte sobre análise técnica e resumidos abaixo no gráfico de fluxo de infecção.
• No início, as macros criam uma tarefa agendada para fazer reconhecimento, listagem de dados e vazamento de dados.
• Em seguida, para viabilizar a comunicação com o servidor de comando e controle utilizado para vazar os dados da vítima, as macros utilizam uma técnica conhecida de “lolbas” (“Living Off the Land Binaries and Scripts”, ou seja, binários e scripts que se aproveitam da funcionalidade existente) para executar linhas de comando do PowerShell como um script confiável.

Leia nosso blog para saber mais sobre antecedentes, atribuição, campanha e análise técnica da APT DarkHotel.

Trellix Threat Labs identifica comprometimento do gabinete do primeiro-ministro

Em janeiro, nossa equipe anunciou ter identificado uma campanha de espionagem em vários estágios visando funcionários de alto escalão do governo que supervisionam a política de segurança nacional e indivíduos no setor de defesa na Ásia Ocidental. A Trellix fez uma divulgação prévia para as vítimas e forneceu todo o conteúdo necessário para remover dos ambientes todos os componentes conhecidos do ataque.

A análise do processo geral de ataque começa com a execução de um arquivo do Excel contendo uma exploração da vulnerabilidade de execução remota de código MSHTML (CVE-2021-40444). Ela é usada para executar um arquivo DLL malicioso agindo como um downloader para o malware do terceiro estágio que chamamos de Graphite. O Graphite é uma amostra de malware recém-descoberta com base em um stager OneDrive Empire que usa contas do OneDrive como servidor de comando e controle através da API do Microsoft Graph.

As últimas fases deste ataque em vários estágios, que acreditamos estar associado a uma operação APT, inclui a execução de diferentes preparadores Empire para finalmente fazer download de um agente Empire nos computadores das vítimas e envolver o servidor de comando e controle para controlar remotamente os sistemas.

O diagrama a seguir mostra o processo geral do ataque.

Leia nosso blog para uma análise mais detalhada, incluindo estágios, infraestrutura e atribuição.

Metodologia

Os sistemas de back-end da Trellix fornecem a telemetria que utilizamos como fonte de dados para nossos relatórios trimestrais de ameaças. Nós combinamos nossa telemetria com inteligência de fontes abertas sobre ameaças e nossas próprias investigações sobre ameaças predominantes, como ransomware, atividades de governos etc.

Quando falamos em telemetria, referimo-nos a detecções, e não infecções. Uma detecção ocorre quando um arquivo, URL, endereço IP ou outro indicador é detectado por um de nossos produtos e relatado para nós.

A privacidade de nossos clientes é fundamental. Ela também é importante no que se refere à telemetria e ao mapeamento com os setores e países de nossos clientes. A base de clientes difere conforme o país e os números podem mostrar aumentos que exijam análises mais detalhadas dos dados para serem explicados. Um exemplo é o setor de telecomunicações, que sempre se destaca em nossos dados. Isso não significa, necessariamente, que esse setor é altamente visado. O setor de telecomunicações também inclui provedores de serviços de Internet, os quais possuem espaços de endereços IP que podem ser comprados por empresas. O que isso significa? Denúncias associadas ao espaço de endereços IP do provedor aparecem como detecções de telecomunicações, mas podem ser de clientes do provedor que atuam em um setor diferente.

Ransomware

No último trimestre de 2021, o cenário do ransomware continuou mudando. Em vez dos grandes ataques que descrevemos em nosso relatório anterior, os perpetradores de ransomware tiveram de encontrar um novo abrigo clandestino e as autoridades policiais começaram a desmantelar vários grupos de ransomware proeminentes. Um desses grupos foi o REvil/Sodinokibi, que ainda figurava entre as maiores famílias de ransomware no terceiro trimestre. Porém, o REvil saiu de cena após uma derrubada coordenada de sua infraestrutura, várias disputas internas e prisões de seus integrantes. A Trellix orgulha-se de ter auxiliado na investigação do REvil fornecendo análises de malware, localizando infraestruturas cruciais e identificando diversos suspeitos.

Os três primeiros lugares no quarto trimestre de 2021 foram do ransomware Lockbit, Cuba e Conti. Suspeitamos que os integrantes remanescentes do REvil provavelmente encontraram um novo abrigo nessas famílias de ransomware.

Este relatório nem bem havia sido concluído e o cenário de ameaças mudou mais uma vez. O Conti, que havia crescido a ponto de se tornar uma das maiores famílias de ransomware, teve milhares de chats internos vazados na Internet, essencialmente expondo seus segredos internos. Apelidamos esse vazamento de “Panama Papers do ransomware” e certamente daremos destaque a nossas descobertas no próximo relatório trimestral.

Para ajudar as empresas a compreender e a se defender melhor contra ataques de ransomware no cenário vigente, a equipe do Trellix Threat Labs apresenta pesquisas e descobertas sobre o predomínio de uma ampla variedade de ameaças de ransomware, incluindo famílias, técnicas, países, setores e vetores do quarto trimestre de 2021.