Um grupo avançado de ameaças persistentes alinhado à Índia, conhecido como Dropping Elephant, lançou ataques cibernéticos sofisticados contra o setor de defesa do Paquistão usando um backdoor baseado em Python recém-desenvolvido, entregue por meio de um conta-gotas MSBuild.
A campanha demonstra uma evolução significativa nas táticas, técnicas e procedimentos dos atores da ameaça, combinando binários que vivem fora da terra com malware personalizado para evitar a detecção e estabelecer acesso persistente a alvos de alto valor.
Soltando Elefante, também rastreado como Patchwork APT, Hangover Group e APT-C-09, implantou uma complexa cadeia de infecção em vários estágios projetada especificamente para comprometer organizações no setor de defesa do Paquistão.
O ataque começa com e-mails de spearphishing contendo iscas com tema de defesa do Paquistão que entregam arquivos ZIP maliciosos a vítimas inocentes.
Uma vez aberto, o arquivo inclui um arquivo de projeto MSBuild funcionando como um conta-gotas e um documento PDF chamariz projetado para manter a segurança operacional e reduzir as suspeitas das vítimas.
Os invasores aproveitam o MSBuild.exe, uma ferramenta legítima de construção da Microsoft, como um binário vivo para executar código malicioso sem acionar soluções de segurança tradicionais.
Essa técnica permite que os agentes da ameaça abusem de processos confiáveis do sistema para fins maliciosos, reduzindo significativamente a probabilidade de detecção por produtos de segurança de endpoint.
O conta-gotas do MSBuild emprega resolução dinâmica de API e decodificação de criptografia reversa UTF para ocultar sua funcionalidade maliciosa durante a análise estática.
Tempo de execução Python incorporado
O dropper baixa e implanta um ambiente de execução Python incorporado no sistema da vítima, incluindo pythonw.exe e arquivos associados. Arquivos DLL como python310.dll e python313.dll.
Este ambiente Python independente permite que os invasores executem seu backdoor sem exigir que o sistema da vítima já tenha o Python instalado.
O malware cria várias tarefas agendadas chamadas KeyboardDrivers, MsEdgeDrivers e Microsoft borda Update2Network para estabelecer persistência e garantir que o backdoor permaneça ativo mesmo após a reinicialização do sistema.
No centro da cadeia de infecção está um backdoor de bytecode Python organizado, disfarçado de python2_pycache. dll, um arquivo DLL falso que contém a funcionalidade real do trojan de acesso remoto.
Essa abordagem furtiva permite que os invasores ocultem código executável dentro do que parece ser um arquivo legítimo da biblioteca do sistema.
O tempo de execução Python integrado executa esse bytecode organizado diretamente, estabelecendo comunicação de comando e controle com a infraestrutura do invasor hospedada em domínios como nexnxky.info e upxvion.info.
Os pesquisadores de segurança avaliam com grande confiança que esta campanha está alinhada com os padrões operacionais e objetivos estratégicos estabelecidos da Dropping Elephant.
O grupo de ameaça tem-se centrado historicamente em operações de espionagem de longo prazo visando os setores militar, de defesa e governamental do Paquistão, particularmente organizações envolvidas em investigação e desenvolvimento, unidades de aquisição e entidades relacionadas com a Corporação Nacional de Rádio e Telecomunicações.
A natureza sofisticada da cadeia de ataque, combinada com o direcionamento específico do pessoal do setor de defesa do Paquistão, indica uma operação alinhada com o Estado e com bons recursos, focada na recolha de informações.
A utilização de geofencing e segmentação restrita por região sugere que os atacantes implementaram medidas de segurança operacional para limitar a exposição da sua infraestrutura e técnicas.
Recomendações de detecção
As organizações do setor de defesa devem implementar controles robustos de segurança de e-mail para detectar e bloquear spearphishing tentativas contendo anexos maliciosos.
Esta abordagem calculada demonstra a intenção do grupo de manter o acesso persistente às redes comprometidas, minimizando ao mesmo tempo o risco de detecção por pesquisadores de segurança e equipes de resposta a incidentes fora da região alvo pretendida.
As equipes de segurança devem monitorar a execução incomum do processo MSBuild.exe, especialmente instâncias geradas por processos pai inesperados ou execução de código em locais suspeitos.
Os defensores da rede devem basear-se nos padrões normais de criação de tarefas agendadas e investigar novas tarefas com nomes que imitem serviços legítimos da Microsoft.
Além disso, as organizações devem implementar a lista de permissões de aplicativos para evitar a execução de intérpretes Python não autorizados em endpoints e monitorar conexões de saída para domínios recém-registrados ou suspeitos associados à infraestrutura de comando e controle.
Siga-nos emGoogle Notícias,LinkedIneXpara obter atualizações instantâneas e definir GBH como fonte preferencial emGoogle.