Transparent Tribe: 10 Fatos sobre Malware e Ciberespionagem

Entidades de destaque na Índia se tornaram alvo de campanhas maliciosas orquestradas pelo grupo de ameaça Transparent Tribe, baseado no Paquistão, e por um grupo de espionagem cibernética associado à China, chamado IcePeony.

As intrusões ligadas ao Transparent Tribe envolvem o uso de um malware denominado ElizaRAT e um novo payload de roubo chamado ApoloStealer, conforme relatado pela Check Point.

“A amostra do ElizaRAT indica um uso sistemático de serviços baseados em nuvem, incluindo Telegram, Google Drive e Slack, para facilitar as comunicações de comando e controle”, informou a empresa israelense Check Point.

ElizaRAT é uma ferramenta de acesso remoto para Windows (RAT) que o Transparent Tribe foi observado utilizando em julho de 2023 em ataques a setores governamentais da Índia. Este grupo, também conhecido como APT36, está ativo desde 2013.

Palavras-Chave no Malware do Transparent Tribe

Seu arsenal de malware inclui ferramentas para comprometer dispositivos Windows, Android e Linux. O foco em máquinas Linux é motivado pelo governo indiano usar uma versão personalizada do Ubuntu chamada Maya OS.

Cadeias de infecção são iniciadas por arquivos de Painel de Controle (CPL) distribuídos por spear-phishing. Observou-se máquinas usando Slack, Google Drive e VPS para comando e controle (C2).

O ElizaRAT permite controle total sobre o endpoint alvo, enquanto o ApoloStealer coleta e exfiltra arquivos, como DOC, XLS, ZIP e outros, para um servidor remoto.

Em janeiro de 2024, foi relatado que o ator de ameaça ajustou seu modo de operação, introduzindo um componente de dropper para garantir o funcionamento do ElizaRAT, além de um módulo de roubo ConnectX, que busca arquivos em drives externos.

IcePeony: Ciberataques na Índia

Semanas após revelações do grupo nao_sec, descobriu-se que IcePeony tem como alvo entidades governamentais e acadêmicas na Índia, Maurício e Vietnã desde pelo menos 2023.

Os ataques do IcePeony geralmente começam com SQL Injection, seguidos de compromissos via web shells e backdoors que visam roubar credenciais.

Uma das ferramentas em seu portfólio é um binário ELF, IceCache, que ataca instâncias do Microsoft IIS. É uma versão personalizada do reGeorg web shell, com capacidades adicionais.

Os ataques também usam o backdoor IceEvent, que permite upload/download de arquivos e execução de comandos.

Além disso, organizações indianas, juntamente com aquelas do Nepal e Taiwan, foram alvos de outro grupo, GroundPeony, usando uma falha de execução remota de código do Microsoft Office.

APT36: Táticas e Ferramentas da Transparent Tribe

A Transparent Tribe, também conhecida como APT36, concentra seus ataques em entidades governamentais, militares e contratantes de defesa na Índia e Afeganistão. O grupo visa a ciberespionagem e a coleta de informações sensíveis, utilizando técnicas de infecção como spear-phishing.

Esses ataques são realizados através de emails cuidadosamente elaborados, que carregam links ou anexos maliciosos reconhecíveis pela sua aparência similar a documentos e sites legítimos de entidades governamentais e militares. Recentemente, o uso de imagens ISO como vetores de ataque chamou a atenção, sendo uma estratégia frequentemente utilizada contra entidades indianas.

O grupo utiliza frequentemente arquivos comprimidos, como os arquivos RAR protegidos por senha, hospedados em compartilhadores de arquivos públicos, facilitando a disseminação de seu malware entre as vítimas.

Malware Empregado pela Transparent Tribe

A Transparent Tribe, ou APT36, é conhecida pelo uso de um arsenal de malware que inclui o CrimsonRAT e o recém-observado ElizaRAT. O ElizaRAT tira proveito de serviços baseados na nuvem, como Telegram, Google Drive e Slack, para gerenciar comunicações de comando e controle.

Além desses, o ApoloStealer opera coletando e exfiltrando uma variedade de arquivos dos sistemas comprometidos, enquanto o Mythic Poseidon configura-se como binários usados para comunicar-se com agentes C2, permitindo entregas de payloads customizáveis e interação complexa com sistemas afetados.

As ferramentas utilizadas por esse grupo não só mostram sofisticação, mas também eficiência, não apenas pelo seu propósito específico de acesso remoto e espionagem, mas também pela adaptabilidade ao longo do tempo às exigências variáveis do ambiente cibernético.

Infraestrutura Maliciosa da Transparent Tribe

A infraestrutura maliciosa empregada pelo grupo inclui domínios falsos, que usam extensões de domínio como .in, camuflando-se em organizações governamentais da Índia. Isso engana os alvos e facilita a operação dos ataques de ciberespionagem.

Os atacantes utilizam serviços como Google Drive para hospedar conteúdos maliciosos de forma mais discreta, evitando assim levantarem suspeitas durante a transferência de arquivos maliciosos.

Para sustentar suas operações cibernéticas, a Transparent Tribe explora provedores comuns de servidores, como a DigitalOcean, identificado pela ferramenta de fingerprinting JARM, complicando a detecção de suas atividades ilícitas.

IcePeony: Um Olhar Sobre as Ameaças Atuais

O grupo de ameaças IcePeony, de origem chinesa, tem como alvos principais nichos governamentais, educacionais e políticos em países como Índia, Maurício e Vietnã. Os métodos desse grupo são primariamente voltados para a coleta de dados sensíveis e credenciais importantes.

Injeção de SQL é uma das técnicas primárias utilizadas pelo IcePeony. Após comprometer servidores web, eles instalam Web Shells e backdoors, garantindo assim um acesso persistente e a capacidade de realizar mais exploração ou roubo de dados.

A utilização de ferramentas personalizadas, como o IceCache, um binário ELF escrito em Go, ilustra a capacidade adaptativa e técnica desse grupo. O IceCache é uma versão customizada do web shell reGeorg, com capacidades adicionais de transmissão de dados e execução de comandos específicos.

Métodos de Infecção e Malware Associados

O uso de backdoors como o IceEvent permite ao IcePeony realizar uploads e downloads de arquivos, aumentando assim a eficiência dos ataques ao manter uma comunicação fluida com os sistemas comprometidos.

A estratégia de infecção muitas vezes inicia com técnicas de SQL Injection, evoluindo para compromissos mais aprofundados usando web shells, que estabelecem pontos de entrada seguros durante operações de espionagem cibernética.

Os ataques contra o Microsoft IIS, particularmente com a ferramenta IceCache, são frequentes, mostrando o foco do IcePeony em comprometimentos de longa duração e difícil detecção, característicos de operações persistentes e avançadas.

Desafios e Conclusões sobre a Cyber Espionage

A capacidade desses grupos de adaptar seus métodos e abusar de serviços legítimos como Telegram, Google Drive e Slack, para finalidades maliciosas, sublinha a crescente ameaça de threats ocultas no cenário de cibersegurança atual.

Com a crescente tensão geopolítica envolvendo regiões da Índia e Paquistão, iniciativas como as perpetradas pela Transparent Tribe e IcePeony garantem que a cibersegurança nacional permaneça uma preocupação crítica, demandando abordagens de defesa sofisticadas e vigilância constante.

A adaptabilidade e a evolução contínua dos métodos usados por esses grupos, incluindo o emprego de linguagens cross-platform, ressaltam a urgência de desenvolver estratégias contra-ataque que evoluam ao igualmente rápido ritmo.

Aprofundando nas Ameaças Cibernéticas: Transparent Tribe e IcePeony

Contextualização e Relevância

No mundo da cibersegurança, dois grupos ganharam destaque por suas operações sofisticadas na Ásia: o Transparent Tribe e o IcePeony. Com foco em ciberespionagem, essas entidades ameaçam especialmente o governo indiano e o Afeganistão, utilizando técnicas avançadas para comprometer a segurança de seus alvos.

A ação desses grupos é uma parte importante das tendências de cibersegurança que emergem em 2024, destacando a necessidade de fortificação das infraestruturas locais contra ameaças persistentes avançadas (APT). Imersos em um ambiente cibernético cada vez mais volátil, os setores governamentais, de defesa e educação na Índia têm se tornado alvos primários para esses atores de ameaça.

Esses grupos, com motivações político-econômicas, usam uma combinação de malware sofisticado e técnicas de engano para atingir suas metas. Com posto de operação no Paquistão e com ligações na China, os métodos de ataque são complexos e frequentemente difíceis de detectar e mitigar.

Transparent Tribe: Estratégias de Ataque

Também conhecido como APT36 ou Mythic Leopard, o Transparent Tribe é notório por suas campanhas de spear-phishing, desenvolvidas para comprometer entidades governamentais e militares. O uso de malware especializado como o ElizaRAT e o ApoloStealer intensifica sua abordagem furtiva e destrutiva.

As campanhas do grupo frequentemente começam com arquivos maliciosos disfarçados de mensagens legítimas, frequentemente direcionados a indivíduos de alto escalão. Estes servem como vetores de entrega de diversos tipos de software malicioso, incluindo Trojan de Acesso Remoto (RAT).

Um aspecto único do Transparent Tribe é seu uso de infraestrutura baseada em nuvem para comando e controle, explorando plataformas como Google Drive, Telegram e Slack. Esta abordagem não só facilita a comunicação em tempo real, mas também esconde suas atividades em redes de tráfego legítimo.

IcePeony: Alvos e Ferramentas de Hackeamento

Visando agências e instituições governamentais, o grupo IcePeony começa suas investidas com injetores SQL e continua com o comprometimento via web shells e backdoors. Sua preferência por Vietnã e outras regiões estratégicas destaca uma preocupação global com cibersegurança.

Em termos de malware, o IcePeony desenvolveu o IceCache, um binário ELF voltado principalmente para instâncias de servidores Microsoft IIS. Possui capacidades extensas para transmissão de arquivos e execução de comandos, sublinhando a sofisticação de suas ferramentas.

Eles também empregam o IceEvent, um backdoor passivo exclusivo capaz de manipular dados remotamente. Este conjunto de ferramentas permite que o IcePeony mantenha um acesso persistente a redes comprometidas, facilitando o roubo contínuo de credenciais e dados sensíveis.

Impactos e Consequências dos Ataques

Os ataques do Transparent Tribe e IcePeony têm sérias implicações para segurança nacional e integridade dos dados. Alvos críticos, como entidades do governo e do setor de educação, sofrem significativo risco de exposição a dados confidenciais.

Muitos dos ataques estão ligados a infraestruturas críticas, o que pode causar danos à economia e política local. A crescente sofisticação das técnicas de ciberespionagem exige monitoramento constante e soluções de segurança adaptativas.

Além disso, a capacidade desses grupos de evitar a detecção usando serviços de nuvem legítimos complica ainda mais os esforços de controle de danos. Ações preventivas, como a promoção do conhecimento sobre spear-phishing e a implementação de práticas de segurança de TI são essenciais.

Medidas de Proteção e Resposta

Para mitigar os riscos impostos por esses grupos, as organizações devem adotar medidas de segurança cibernética robustas. Estas incluem a educação contínua de funcionários quanto aos perigos do spear-phishing e a implementação de soluções avançadas de detecção de malware.

Além disso, o uso de ferramentas de análise comportamental para identificar atividades suspeitas antes que eles comprometam sistemas críticos é uma estratégia vital. Ademais, práticas de monitoramento de redes devem ser enfatizadas para detecção precoce e neutralização de ameaças.

Fortalecer firewalls e sistemas de IDS/IPS também é crucial para bloquear tentativas de infiltração e acesso não autorizado a dados.

Conheça mais

• Hackers miram alto escalão indiano
• Nova campanha do Transparent Tribe
• Profile: Transparent Tribe
• Investigação OSINT sobre Transparent Tribe
• Ataques de IcePeony e Transparent Tribe

#TransparentTribe #CyberEspionage #Malware #APT36 #ElizaRAT #ApoloStealer #IcePeony #SpearPhishing #LinuxSecurity #WindowsSecurity #AndroidSecurity #CyberSecurity #DataExfiltration #SQLInjection #CloudSecurity #alegon #cryptoalch