Acessos remotos vem sendo usados para burlar medidas de segurança e roubar dados confidenciais das organizações industriais
O aumento da conectividade dos sistemas de controle industrial (ICS) e a convergência das redes de TO e TI expandiram significativamente a superfície de ataque das empresas de manufatura, o que tem feito com quegrupos de crime cibernético voltem o foco para esses ambientes e sofistiquem cada vez mais seu modus operandis(táticas, técnicas e procedimentos avançados – TTPs).
Investigação feita pela Kaspersky revela uma série de ataques direcionados com o objetivo de estabelecer um canal permanente de roubo (exfiltração) de dados. Essas campanhas mostraram semelhanças importantes com ataques já conhecidos como ExCone e DexCone, sugerindo o envolvimento do grupo APT31, também conhecido como Judgment Panda e Zirconium.
A investigação revelou ainda o uso de recursos avançados projetados para acesso remoto, mostrando o amplo conhecimento e experiência dos grupos em contornar as medidas de segurança. Essas ferramentas possibilitaram o estabelecimento de canais contínuos para vazamento de dados, inclusive de sistemas extremamente seguros.
Segundo a empresa de segurança cibernética, é importante observar que mais uma vez foram usadas técnicas de sequestro de DLL (ou seja, uso indevido de programas legítimos com vulnerabilidades para carregar DLLs maliciosas na memória) para tentar evitar a detecção precoce do ataque.
Serviços de armazenamento de dados na nuvem, como Dropbox e Yandex Disk, bem como plataformas de compartilhamento temporário de arquivos, foram usados para vazar dados e entregar malware em seguida. Também foi implantada uma infraestrutura de comando e controle (C&C) no Yandex Cloud, bem como em servidores privados virtuais (VPS) regulares para manter o controle das redes comprometidas.
Nesses ataques, foram implementadas novas variantes do malware FourteenHi. Originalmente descoberta em 2021 durante a campanha ExCone, que visava entidades governamentais, essa família de malware evoluiu, com novas variantes surgindo em 2022, para atingir especificamente a infraestrutura de organizações industriais. Além disso, foi descoberto durante a investigação um novo implante de malware, chamado de MeatBall. Esse implante backdoor tem amplas capacidades de acesso remoto.
“Não podemos subestimar os riscos significativos que os ataques direcionados representam para a indústria. À medida que as organizações continuam digitalizando suas operações e dependem de sistemas interconectados, é impossível negar as possíveis consequências de ataques bem-sucedidos à infraestrutura crítica. Essa análise enfatiza a importância fundamental da implementação de medidas resilientes de cibersegurança para proteger a infraestrutura industrial contra ameaças existentes e futuras“, comenta Kirill Kruglov, pesquisador sênior de segurança da ICS CERT da Kaspersky.
Para ler o relatório completo sobre os implantes do primeiro estágio, visite o site da ICS CERT.
Fonte:
https://www.cisoadvisor.com.br/ataques-ao-setor-industrial-agora-visam-ambientes-de-nuvem/
