Acessos remotos são usados para burlar medidas de segurança e roubar dados confidenciais das organizações industriais
Recente relatório da Kaspersky sobre ciberataques direcionados à indústria revela o modus operandis (táticas, técnicas e procedimentos avançados - TTPs) dos grupos especializados que operam neste setor. Indústrias de manufatura e sistemas de controle industrial (ICS) e integração foram particularmente afetadas, o que destaca a necessidade urgente de maior cuidado em cibersegurança.
Durante a investigação, a Kaspersky descobriu uma série de ataques direcionados com o objetivo de estabelecer um canal permanente de roubo (exfiltração) de dados. Essas campanhas mostraram semelhanças importantes com ataques já conhecidos como ExCone e DexCone, sugerindo o envolvimento do APT31, também conhecido como Judgment Panda e Zirconium.
A investigação revelou ainda o uso de recursos avançados projetados para acesso remoto, mostrando o amplo conhecimento e experiência dos grupos em contornar as medidas de segurança. Essas ferramentas possibilitaram o estabelecimento de canais contínuos para vazamento de dados, inclusive de sistemas extremamente seguros.
É importante observar que mais uma vez foram usadas técnicas de sequestro de DLL (ou seja, uso indevido de programas legítimos com vulnerabilidades para carregar DLLs maliciosas na memória) para tentar evitar a detecção precoce do ataque.
Serviços de armazenamento de dados na nuvem, como Dropbox e Yandex Disk, bem como plataformas de compartilhamento temporário de arquivos, foram usados para vazar dados e entregar malware em seguida. Também foi implantada uma infraestrutura de comando e controle (C2) no Yandex Cloud, bem como em servidores privados virtuais (VPS) regulares para manter o controle das redes comprometidas.
Nesses ataques, foram implementadas novas variantes do malware FourteenHi. Originalmente descoberta em 2021 durante a campanha ExCone, que visava entidades governamentais, essa família de malware evoluiu, com novas variantes surgindo em 2022, para atingir especificamente a infraestrutura de organizações industriais.
Além disso, foi descoberto durante a investigação um novo implante de malware, chamado de MeatBall. Esse implante backdoor tem amplas capacidades de acesso remoto.
"Não podemos subestimar os riscos significativos que os ataques direcionados representam para a indústria. À medida que as organizações continuam digitalizando suas operações e dependem de sistemas interconectados, é impossível negar as possíveis consequências de ataques bem-sucedidos à infraestrutura crítica. Essa análise enfatiza a importância fundamental da implementação de medidas resilientes de cibersegurança para proteger a infraestrutura industrial contra ameaças existentes e futuras", comenta Kirill Kruglov, pesquisador sênior de segurança da ICS CERT da Kaspersky.
Para ler o relatório completo sobre os implantes do primeiro estágio, visite o site da ICS CERT.
Para manter seus computadores da TO protegidos de diversas ameaças, os especialistas da Kaspersky recomendam:
- Realize avaliações de segurança de sistemas da TO regularmente para identificar e eliminar possíveis problemas de cibersegurança.
- Estabeleça a triagem e avaliação contínuas de vulnerabilidades como base para um processo eficaz de gerenciamento de vulnerabilidades. Soluções dedicadas podem se tornar um assistente eficiente e uma fonte de informações práticas exclusivas, não totalmente disponíveis para o público.
- Faça as atualizações dos principais componentes da rede de TO da empresa rapidamente; aplicar correções e patches de segurança ou implementar medidas de compensação assim que for tecnicamente possível é essencial para evitar grandes incidentes que podem custar milhões devido à interrupção do processo de produção.
- Use soluções de EDR como o Kaspersky Endpoint Detection and Response para detectar rapidamente ameaças sofisticadas, investigar e corrigir incidentes efetivamente.
- Melhore a resposta a técnicas maliciosas novas e avançadas, criando e fortalecendo as habilidades de prevenção, detecção e resposta a incidentes de suas equipes. Uma das principais medidas para se conseguir isso é a realização de treinamentos dedicados de segurança da TO para equipes de segurança de TI e pessoal de TO.
Sobre a Kaspersky
A Kaspersky é uma empresa global de cibersegurança e privacidade digital fundada em 1997. O seu profundo conhecimento do panorama de inteligência de ameaças e a sua experiência leva à criação contínua de soluções de segurança e serviços para proteger as empresas, infraestrutura críticas, Governos e consumidores por todo o mundo. O portfólio de segurança da empresa inclui a solução líder de proteção para endpoint e um vasto número de programas e serviços de segurança especializados – que incluem soluções de Ciberimunidade – que visam combater ameaças digitais mais sofisticadas e em permanente evolução. Atualmente, mais de 400 milhões de utilizadores estão protegidos pelas tecnologias da Kaspersky e a empresa ajuda cerca de 220.000 clientes corporativos a proteger o que lhes é mais importante. Mais informações no site.
