Campanha EastWind tem como alvo o governo russo e organizações de TI via CloudSorcerer

Em uma nova onda de ataques cibernéticos, entidades governamentais russas e organizações de TI estão sendo alvos de uma sofisticada campanha de spear-phishing conhecida como EastWind. Esta campanha entrega uma série de backdoors e trojans, explorando sistemas Windows por meio de um arquivo de atalho malicioso do Windows (LNK) oculto em anexos de arquivo RAR. Quando usuários desavisados abrem esses arquivos, eles acionam uma sequência de infecção complexa que, em última análise, leva à implantação de várias variantes perigosas de malware, incluindo GrewApacha, uma versão atualizada do backdoor CloudSorcerer e um implante recém-identificado chamado PlugY.

O Processo de Infecção

A campanha EastWind começa com um arquivo LNK aparentemente inofensivo. No entanto, esse arquivo é tudo menos benigno. Ele aproveita técnicas de side-loading de DLL para executar um arquivo DLL malicioso, usando o Dropbox como um canal de comunicação. Uma vez que a infecção está ativa, ele realiza reconhecimento e baixa payloads adicionais.

Entre os malwares implantados está o GrewApacha , um backdoor anteriormente associado ao grupo APT31 vinculado à China. Este malware utiliza um perfil comprometido do GitHub para armazenar uma string codificada em Base64, que serve como servidor de comando e controle (C2).

Outro componente-chave desse ataque é o CloudSorcerer , uma ferramenta de espionagem cibernética altamente avançada. Esse backdoor facilita o monitoramento secreto, a coleta de dados e a exfiltração, aproveitando serviços de nuvem populares como Microsoft Graph, Yandex Cloud e Dropbox. Ele emprega um mecanismo de proteção baseado em criptografia, garantindo que o malware seja ativado apenas na máquina da vítima pretendida, gerando uma chave exclusiva derivada da função GetTickCount() do Windows.

O último pedaço de malware observado nesta campanha é o PlugY , um backdoor com todos os recursos, capaz de executar comandos de shell, monitorar a tela da vítima, registrar pressionamentos de tecla e capturar conteúdo da área de transferência. O PlugY se conecta a um servidor de gerenciamento usando TCP, UDP ou pipes nomeados e exibe similaridades com um backdoor conhecido chamado DRBControl, atribuído a atores de ameaças China-nexus como APT27 e APT41.

Mitigação e Remoção

Dada a sofisticação da campanha EastWind, mitigar e remover essas ameaças requer uma abordagem multifacetada:

1. Evite abrir arquivos suspeitos: Não abra anexos inesperados ou suspeitos, especialmente se eles vierem na forma de arquivos RAR ou LNK. Se você receber um arquivo desse tipo, verifique sua legitimidade com o remetente antes de prosseguir.
2. Use Advanced Antivirus Solutions: Empregue uma solução antivírus atualizada capaz de detectar e remover ameaças avançadas como GrewApacha, CloudSorcerer e PlugY. Execute uma verificação completa do sistema e remova quaisquer ameaças detectadas.
3. Atualizar e aplicar patches em sistemas: garanta que seu sistema operacional, software e ferramentas de segurança estejam atualizados com os patches mais recentes. Isso ajuda a fechar vulnerabilidades que malwares como EastWind podem explorar.
4. Monitore o tráfego de rede: monitore regularmente o tráfego de rede para atividades incomuns, especialmente conexões com servidores C2 desconhecidos ou serviços de nuvem como Dropbox, Microsoft Graph e Yandex Cloud. Tráfego suspeito deve ser investigado e bloqueado.
5. Isole os sistemas infectados: se uma infecção for detectada, isole imediatamente o sistema afetado da rede para evitar uma disseminação maior. Conduza uma investigação completa para identificar e remover todos os vestígios do malware.
6. Fortaleça a segurança de e-mail: implemente medidas robustas de segurança de e-mail, incluindo filtros de spam, protocolos de autenticação de e-mail e treinamento de funcionários para reconhecer tentativas de phishing.

A campanha EastWind é um lembrete claro das táticas em evolução usadas por criminosos cibernéticos para violar defesas e roubar informações confidenciais. Ao permanecerem vigilantes e empregarem uma estratégia de segurança abrangente, as organizações podem se proteger dessa e de outras ameaças avançadas. Garanta que seus sistemas estejam fortalecidos contra esses backdoors e trojans e tome medidas proativas para detectar e remover quaisquer sinais de infecção.