Um novo ataque cibernético foi observado explorando o serviço “Find Hub” do Google para limpar remotamente dados de dispositivos Android.
A operação, descoberta pelo Genians Security Center (GSC), está ligada ao longo prazo KONNI ameaça persistente avançada (APT), associada à campanha de Kimsuky e APT37 Grupos.
Nesse ataque, arquivos maliciosos disfarçados de programas de alívio do estresse foram distribuídos pelo mensageiro KakaoTalk da Coreia do Sul. Os perpetradores se passaram por conselheiros psicológicos e ativistas de direitos humanos que apoiavam desertores norte-coreanos.
Depois que as vítimas executaram os arquivos infectados, os invasores obtiveram as credenciais da conta do Google e acionaram a função de limpeza remota do Find Hub para excluir todos os dados em smartphones e tablets direcionados.
O relatório do GSC marca o primeiro caso confirmado de um grupo patrocinado pelo Estado que abusa do recurso legítimo de gerenciamento de dispositivos do Google para realizar operações destrutivas.
“Este desenvolvimento demonstra um risco realista de que o recurso possa ser abusado nas campanhas APT”, disse o GSC em sua análise.
Como o ataque se desenrolou
A campanha começou quando os invasores usaram contas comprometidas do KakaoTalk para distribuir um instalador MSI disfarçado de aplicativo de alívio do estresse para contatos confiáveis.
Quando as vítimas correram Estresse Clear.msi, uma janela de instalação normal apareceu enquanto um carregador AutoIt era instalado silenciosamente em segundo plano.
O carregador estabeleceu persistência copiando executáveis para a pasta pública Música, registrando uma tarefa agendada e conectando-se a servidores de comando e controle (C2) para buscar módulos adicionais.
Isso geralmente incluía Trojans de acesso remoto, como RemcosRAT, QuasarRAT e RftRAT, fornecidos a partir da infraestrutura C2 ou por meio da sessão de PC comprometida.
Usando credenciais roubadas, os invasores acessaram as contas do Google das vítimas para rastrear sua localização em tempo real por meio do Find Hub. Quando um alvo era confirmado como ausente, eles acionavam comandos de reinicialização remota que apagavam telefones e tablets Android, cortando alertas e atrasando a descoberta.
Com as notificações móveis desativadas, os atores exploraram as sessões ativas do KakaoTalk PC para espalhar mais arquivos maliciosos, expandindo seu alcance por meio de conexões sociais confiáveis.
A assinatura digital de aparência válida do instalador ajudou a contornar suspeitas e sua rotina de configuração excluiu rastros para dificultar ainda mais a análise.
Os scripts AutoIt disfarçados de caixas de diálogo de erro eram executados em loop, mantendo contato com servidores C2 em vários países para receber novas cargas úteis.
Defesas recomendadas
Para se defender contra essa ameaça, o GSC recomendou fortalecer o monitoramento de detecção e resposta de endpoint (EDR) e implementar a detecção de anomalias baseada em comportamento. Conselhos adicionais incluem:
-
Ativando a autenticação de dois fatores para contas do Google
-
Adicionando etapas de verificação para solicitações de apagamento remoto
-
Verificando a origem dos arquivos do messenger antes de baixar
Os pesquisadores de segurança também alertaram que esses ataques baseados em confiança estão se tornando mais avançados, combinando engano humano com precisão técnica.
Fortalecimento da autenticação e monitoramento em tempo real, eles observaram, continua sendo a melhor defesa contra essas ameaças APT em evolução.