ESET documenta eficiência de backdoor controlada por emails

Especialistas da ESET investigaram as características da backdoor usada pelo grupo de ciberespionagem Turla (também conhecido como Snake, ou Uroboros) para desviar comunicações sensíveis de autoridades de pelo menos três países europeus. O grupo usa esta ferramenta única há já vários anos e a ESET descobriu que o número de afetados é bastante maior do que se pensava anteriormente.

Entre as vítimas encontra-se o ministério dos negócios estrangeiros na Alemanha, que veio a público em março deste ano reconhecer a falha de segurança. O acesso não autorizado à sua rede pelo grupo deu-se precisamente um ano antes, já depois do Turla comprometer também a rede do colégio federal de administração pública daquele país.

A investigação da ESET determinou que, além do ministério alemão, o grupo fez-se valer da mesma backdoor para abrir um canal de acesso a outros departamentos exteriores em mais dois países europeus, bem como à rede de uma empresa na área da defesa. Estas organizações são as mais recentes vítimas do grupo Turla, que tem como alvo governos, oficiais de estado, diplomatas e autoridades militares desde pelo menos 2008.

De acordo com a ESET, a backdoor foi crescendo em funcionalidades ao longo dos anos, possuindo atualmente um nível raro de furtividade e resiliência. A versão mais recentemente descoberta, desde abril de 2018, inclui a capacidade de executar scripts PowerShell diretamente na memória do computador.

As mais recentes iterações da backdoor têm como alvo o Microsoft Outlook, subvertendo a Messaging Application Programming Interface (MAPI) do software para aceder às contas de email dos afetados. A backdoor é operada através de mensagens de email, mais especificamente através de ficheiros PDF anexados nos emails. Os sistemas comprometidos podem ser instruídos a levar a cabo uma série de comandos, incluindo recolha de dados, download de ficheiros e execução de programas e comandos adicionais.

Para mais informações, visite o artigo completo no WeLiveSecurity ou consulte o whitepaper com toda a investigação (em inglês).

DEIXE UMA RESPOSTA

Please enter your comment!
Please enter your name here

nine − two =