AmeaçaEmergente: GoldenJackal e Seus Ataques a Sistemas Air-Gapped

Um ator de ameaça pouco conhecido, rastreado como GoldenJackal, foi associado a uma série de ataques cibernéticos direcionados a embaixadas e organizações governamentais, com o objetivo de infiltrar sistemas air-gapped utilizando dois conjuntos de ferramentas personalizadas distintas.

Alvos e Objetivos

As vítimas incluem uma embaixada do Sul da Ásia na Bielorrússia e uma organização governamental da União Europeia (E.U.), conforme relatado pela empresa de cibersegurança ESET. O pesquisador de segurança Matías Porolli observou em uma análise aprofundada que “o objetivo final de GoldenJackal parece ser o roubo de informações confidenciais, especialmente de máquinas de alto perfil que podem não estar conectadas à internet”.

Histórico da Ameaça

GoldenJackal apareceu pela primeira vez em maio de 2023, quando a Kaspersky, uma empresa de segurança russa, detalhou os ataques do grupo a entidades governamentais e diplomáticas no Oriente Médio e no Sul da Ásia. A origem do adversário remonta, pelo menos, a 2019.

Métodos de Invasão

Uma característica importante das intrusões é o uso de um worm denominado JackalWorm, que é capaz de infectar unidades USB conectadas e entregar um trojan chamado JackalControl.

“Com o nível de sofisticação requerido, é bastante incomum que em cinco anos, o GoldenJackal conseguiu construir e implantar não uma, mas duas ferramentas separadas projetadas para comprometer sistemas air-gapped,” destacou Porolli. “Isso demonstra a astúcia do grupo.”

Ferramentas e Malware Utilizados

Os ataques direcionados à embaixada do sul da Ásia na Bielorrússia supostamente utilizaram três diferentes famílias de malware, além do JackalControl, JackalSteal e JackalWorm:

• GoldenDealer: usado para entregar executáveis ao sistema air-gapped por meio de unidades USB comprometidas.
• GoldenHowl: um backdoor modular com capacidades de roubar arquivos, criar tarefas programadas, enviar e receber arquivos de um servidor remoto e criar um túnel SSH.
• GoldenRobo: uma ferramenta de coleta de arquivos e exfiltração de dados.

Novas Ferramentas para Campanhas na Europa

Os ataques contra a organização governamental não identificada na Europa, por outro lado, foram encontrados com base em um conjunto completamente novo de ferramentas de malware, principalmente escritas em Go. Estas foram projetadas para coletar arquivos de unidades USB, espalhar malware via USB, exfiltrar dados, e usar alguns servidores de máquina como servidores de preparação para distribuir cargas a outros hosts:

• GoldenUsbCopy e seu sucessor melhorado GoldenUsbGo, que monitoram unidades USB e copiam arquivos para exfiltração.
• GoldenAce: usado para propagar o malware, incluindo uma versão leve do JackalWorm, para outros sistemas (não necessariamente air-gapped) usando unidades USB.
• GoldenBlacklist e sua implementação em Python GoldenPyBlacklist, que são projetadas para processar mensagens de email de interesse para exfiltração posterior.
• GoldenMailer: que envia as informações roubadas para os atacantes via email.
• GoldenDrive: que faz upload das informações roubadas para o Google Drive.

Conglomerado de Combate a Ameaças

Ainda não se sabe como o GoldenJackal consegue ganhar a primeira entrada para violar ambientes-alvo. No entanto, a Kaspersky previamente aludiu à possibilidade de instaladores do Skype trojanizados e documentos do Microsoft Word maliciosos como pontos de entrada.

O GoldenDealer, que já está presente em um computador conectado à internet e entregue por um mecanismo ainda não determinado, é acionado quando uma unidade USB é inserida, fazendo com que ele mesmo e um componente worm desconhecido sejam copiados para o dispositivo removível.

Suspeita-se que o componente desconhecido seja executado ao conectar a unidade USB infectada ao sistema air-gapped, após o qual o GoldenDealer salva informações sobre a máquina na unidade USB.

“Conseguir implantar duas ferramentas separadas para violar redes air-gapped em apenas cinco anos mostra que o GoldenJackal é um ator de ameaça sofisticado e ciente da segmentação de rede usada por seus alvos,” disse Porolli.

Conclusão

O GoldenJackal exemplifica como ameaças cibernéticas evoluem e se adaptam a ambientes de segurança complexos. Os ataques sofisticados demonstram não apenas habilidades técnicas avançadas, mas também uma compreensão profunda das estruturas de segurança que visam. Este fenômeno exige uma vigilância contínua e um aprimoramento nas estratégias de defesa cibernética.

#Cibersegurança, #GoldenJackal, #AtaquesCibernéticos, #AirGapped, #Malware, #SegurançaDaInformação, #RiskManagement, #DataProtection, #TendênciasTecnológicas, #ThreatAnalysis

autor ref: The Hacker News
ref:https://thehackernews.com/2024/10/goldenjackal-target-embassies-and-air.html