Hackers ligados à China atacam organização sem fins lucrativos dos EUA em campanha de espionagem de longo prazo
Um grupo ligado à China teve como alvo uma organização sem fins lucrativos dos EUA para obter acesso de longo prazo, parte de ataques mais amplos a entidades norte-americanas ligadas a questões políticas.
Hackers ligados à China violaram uma organização sem fins lucrativos focada em políticas dos EUA em abril de 2025, mantendo semanas de acesso. Eles usaram o sideload de DLL via vetysafe.exe, uma tática usada por outros grupos APT chineses como Piratas espaciais, Algase Terra Longzhi (APT41 subgrupo). O grupo alavancou Imjpuexc, um arquivo da Microsoft para entrada do Leste Asiático, para mascarar a atividade.
“Atores ligados à China continuam a mostrar interesse em organizações dos EUA com vínculos ou envolvimento em questões políticas, incluindo uma intrusão no início deste ano em uma organização sem fins lucrativos dos EUA que é ativa na tentativa de influenciar a política do governo dos EUA em questões internacionais.” diz o relatório publicado pela Symantec da Broadcom. “Os agentes de ameaças pareciam determinados a estabelecer persistência e manter acesso de longo prazo à rede quando obtiveram acesso a ela por várias semanas em abril de 2025.”
Em 5 de abril de 2025, uma varredura em massa teve como alvo um servidor com várias explorações públicas (Log4j, Atlassian OGNL CVE-2022-26134, Apache Struts CVE-2017-9805, GoAhead RCE CVE-2017-17562, etc.). A atividade foi retomada em 16 de abril com reconhecimento, os invasores usaram comandos curl repetidos para sites externos e para 192.0.0 [.]88, indicando testes de conectividade e dificuldades para alcançar esse host. Os invasores executaram o netstat para enumerar as conexões TCP e, em seguida, criaram uma tarefa agendada persistente “MicrosoftWindowsRasOutbound” em execução msbuild.exe a cada hora como SYSTEM para executar um outbound.xml, que provavelmente injetou código em csc.exe que se conectavam ao C2 em hxxp://38.180.83[.]166/6CDF0FC26CDF0FC2. Às 02:50, um carregador personalizado foi executado, carregando uma carga criptografada na memória, provavelmente um RAT.
Os invasores abusaram do vetysafe.exe do VipreAV para realizar o sideload de DLL e instalar o sbamres.dll, uma técnica vinculada a atores associados à China, como os subgrupos Space Pirates e Earth Longzhi / APT41, incluindo Kelp.
“O componente VipreAV foi assinado pela “Sunbelt Software, Inc.” O sideload de DLL é uma técnica em que os invasores usam o mecanismo de ordem de pesquisa de DLL no Windows para plantar e invocar um aplicativo legítimo que executa uma carga útil de DLL maliciosa.” afirma o relatório.
“Este componente também foi usado para sideload de DLL antes em conjunto com o Deed RAT (também conhecido como Snappy Bee), um Trojan de acesso remoto vinculado à China, em atividade quefoi atribuído a Kelp(também conhecido como Tufão de Sal, Estries da Terra). Acredita-se que o Deed RAT seja compartilhado entre vários grupos chineses.
As equipes de segurança observaram atividades semelhantes ao DCSync e ao Imjpuexc no mesmo dia. Os invasores interromperam todas as atividades após 16 de abril.
“Fica claro pela atividade dessa vítima que os invasores pretendiam estabelecer uma presença persistente e furtiva na rede, e também estavam muito interessados em atingir os controladores de domínio, o que poderia permitir que eles se espalhassem para muitas máquinas na rede.” continua o relatório. “Grupos ligados à China sempre tiveram foco na atividade de espionagem e no monitoramento das atitudes e políticas de governos estrangeiros em relação à China.”
Siga-me no Twitter:@securityaffairseLinkedineMastodonte
(Assuntos de Segurança–hacking, China)