Hackers Ligados ao Estado Chinês Mesclam Ferramentas Automatizadas com Ataques Manuais

Resumo

Atores ligados ao governo chinês, apoiados pelo Integrity Technology Group, utilizam uma combinação de ferramentas de escaneamento automatizado, botnets em larga escala e exploração manual. Eles têm como alvo dados sensíveis em setores de infraestrutura crítica usando vulnerabilidades em aplicativos web e servidores Microsoft Exchange. Os atores empregam várias técnicas para persistência, roubo de credenciais e exfiltração de dados para atingir seus objetivos.

Investigação

A investigação foi conduzida por várias agências internacionais, incluindo o FBI, CISA, NSA, e outras, com base em evidências técnicas recuperadas de investigações múltiplas relacionadas ao Integrity Technology Group. Os analistas observaram o uso de ferramentas personalizadas como MicroScan, EBurst e Curlc4.txt, juntamente com técnicas padrão de living-off-the-land. As descobertas revelaram malware específico, como live700_v1.exe, e o uso de SoftEther VPN para persistência.

Mitigação

As organizações devem priorizar a desativação de serviços e portas não utilizados e sanitizar entradas de aplicativos web para prevenir ataques de injeção. A implementação de autenticação multifator (MFA) para todos os serviços e a adoção de políticas fortes de gerenciamento de identidade e acesso (ICAM) são críticas. Além disso, é recomendada a aplicação oportuna de patches de software e firmware para reduzir o risco de exploração.

Resposta

Após a detecção, as organizações devem isolar os hosts comprometidos e iniciar a caça a ameaças para determinar o escopo completo da intrusão. Revisar logs e artefatos relevantes para identificar TTPs específicos e uma linha do tempo de atividades. Implementar contramedidas de evacuação de forma sistemática usando playbooks estabelecidos para conter e erradicar o ator da ameaça da rede.

Execução de Simulação

• Narrativa e Comandos do Ataque: O adversário obteve acesso inicial à estação de trabalho. Para manter a persistência e evitar a detecção por analistas do SOC que buscam binários desconhecidos, o adversário realiza uma técnica de “Mascaramento”. Eles pegam um executável benigno simples (neste caso, calc.exe) e o renomeiam para DiagTrack.exe. Então, executam este arquivo renomeado a partir de um diretório não padrão (C:UsersPublic). Esta ação destina-se a acionar a regra de detecção que monitora a execução de DiagTrack.exe quando é usado como uma ferramenta de mascaramento.

• Script de Teste de Regressão:

  # Script de Simulação: Mascarando como DiagTrack.exe
  $TargetDir = "C:UsersPublicDownloads"
  $MaliciousName = "DiagTrack.exe"
  $SourceBinary = "C:WindowsSystem32calc.exe"
  
  # 1. Criar diretório se não existir
  if (!(Test-Path $TargetDir)) {
      New-Item -ItemType Directory -Path $TargetDir -Force | Out-Null
  }
  
  # 2. Copiar e renomear o binário para mascarar
  Copy-Item -Path $SourceBinary -Destination "$TargetDir$MaliciousName" -Force
  
  # 3. Executar o binário mascarado para acionar a detecção
  Write-Host "[+] Executando binário mascarado: $TargetDir$MaliciousName"
  Start-Process -FilePath "$TargetDir$MaliciousName"
  
  Write-Host "[+] Simulação completa. Verifique SIEM para detecção."

• Comandos de Limpeza:

  # Script de Limpeza
  $TargetDir = "C:UsersPublicDownloads"
  $MaliciousName = "DiagTrack.exe"
  
  if (Test-Path "$TargetDir$MaliciousName") {
      Remove-Item -Path "$TargetDir$MaliciousName" -Force
      Write-Host "[+] Limpeza bem-sucedida: $MaliciousName removido."
  } else {
      Write-Host "[-] Falha na limpeza: Arquivo não encontrado."
  }