Firebird Backdoor provisoriamente vinculado ao APT indiano
O grupo de indivíduos conhecido como DoNot Team foi conectado à implantação de um novo backdoor baseado em .NET chamado Firebird, que foi direcionado a um número limitado de alvos no Paquistão e no Afeganistão.
Pesquisadores de segurança cibernética afirmaram que as sequências de ataque também são configuradas para introduzir um downloader chamado CSVtyrei, assim chamado devido à sua semelhança com Vtyrei. Certas seções do código fornecido pareciam não operacionais, indicando esforços de desenvolvimento contínuos.
Vtyrei (também conhecido como BREEZESUGAR) refere-se a uma carga útil inicial e tensão de download que o ator da ameaça havia utilizado anteriormente para distribuir uma estrutura de malware conhecida como RTY.
Acredita-se que o DoNot Team, que também atende pelos pseudônimos APT-C-35, Origami Elephant e SECTOR02, seja originário da Índia. Seus ataques envolvem o uso de e-mails de spearphishing e aplicativos Android desonestos para propagar malware.
A avaliação mais recente dos pesquisadores amplia um exame das campanhas de ataque duplo realizadas por esse ator de ameaça em abril de 2023, onde implantaram as estruturas Agente K11 e RTY.
ElizaRAT usado em ataques à Índia
Esta divulgação ocorre após o Zscaler ThreatLabz revelar novas atividades maliciosas realizadas pela Transparent Tribe, com sede no Paquistão (também conhecida como APT36). Este grupo tem como alvo setores do governo indiano usando um arsenal atualizado de malware, que inclui um trojan do Windows anteriormente não documentado chamado ElizaRAT.
ElizaRAT é entregue como um binário .NET e estabelece um canal de comunicação por meio do Telegram, permitindo que os agentes da ameaça obtenham controle total sobre o endpoint alvo.
A Transparent Tribe, ativa desde 2013, tem utilizado táticas como coleta de credenciais e distribuição de malware, distribuindo frequentemente instaladores adulterados de aplicativos do governo indiano, como a autenticação multifator Kavach. Eles também transformaram estruturas de comando e controle (C2) de código aberto como o Mythic.
Num sinal de que este grupo de hackers voltou sua atenção para os sistemas Linux, Zscaler observou que encontrou um pequeno conjunto de arquivos de entrada de desktop que facilitam a execução de binários ELF baseados em Python. Isso inclui GLOBSHELL para exfiltrar arquivos e PYSHELLFOX para roubar dados de sessão do navegador Mozilla Firefox.
