APT russa tem como alvo o servidor Storm-0156 para campanhas de ataque 

De acordo com relatórios recentes, um grupo de Ameaça Persistente Avançada (APT) ligado à Rússia foi identificado em uma campanha de ataque até então não documentada. O Turla, o APT russo, lançou uma campanha de ataque voltada para a infiltração no servidor de comando e controle (C2) pertencente a um grupo de hackers com sede no Paquistão, o Strom-0156. 

Neste artigo, vamos analisar as táticas de ataque, as ferramentas e as tecnologias utilizadas pelos agentes maliciosos, entre outros aspectos. Vamos começar! 

APT russa Ataques: Visão geral 

As atividades maliciosas de longa data do APT russa foram inicialmente identificadas pelo Black Lotus Labs, da Lumen. Vale ressaltar que o APT é conhecido como “Secret Blizzard” ou “Turla”.  A organização de pesquisa em segurança cibernética monitorou uma ampla gama de agentes de ameaças apoiados por Estados que exploravam os servidores C2 de outros grupos de hackers para seus próprios fins. 

Trabalhar com essa estratégia permite que o grupo APT obtenha arquivos confidenciais sem precisar recorrer à exfiltração de redes comprometidas, à exposição de suas próprias ferramentas ou a atrasos na atribuição da autoria. Ao comentar sobre esse cenário de ataque, os especialistas afirmado que:  

“Em cenários em que os outros agentes maliciosos não tenham obtido todos os dados de interesse sobre seus alvos, eles podem vasculhar os dados coletados nos nós C2 em busca de materiais de autenticação roubados para obter acesso ou usar o acesso já existente para ampliar a coleta e implantar seus agentes em uma rede. Ao fazer isso, o Secret Blizzard basicamente aproveita a base de operação criada pelo agente malicioso original.”

Embora a técnica de coleta de dados utilizada pela APT russa ofereça benefícios exclusivos, um agente mal-intencionado ficaria limitado a coletar dados ou acessar apenas as redes controladas pelo nó C2. De acordo com a organização de pesquisa de ameaças cibernéticas: 

“O Secret Blizzard continuou a explorar relações de confiança, passando dos nós C2 de um agente para as estações de trabalho do operador. Acreditamos que os terminais e os malwares associados a Estados-nação e a cibercriminosos sejam especialmente vulneráveis à exploração, uma vez que não conseguem utilizar pilhas de segurança modernas para monitorar o acesso e se proteger contra a exploração.”

Isso indica que, quando os agentes mal-intencionados instalaram os protocolos de segurança, suas vulnerabilidades e ferramentas foram expostas. Acredita-se, atualmente, que os hackers de APT estejam excluindo ativamente os dados de log, na tentativa de agravar a exposição.” 

Servidores Storm-0156 e táticas secretas de ataque da Blizzard 

No que diz respeito aos detalhes dos ataques, acredita-se que o APT russa tenha se aproveitado da confiança depositada nela por meio do Storm-0156. Essa iniciativa permitiu que eles invadissem as estações de trabalho dos operadores de redes de computadores do Paquistão, onde puderam roubar dados desses nós. Além disso, essa tática também foi utilizada para introduzir o Waiscot e o CrimsonRAT. 

O APT russo posteriormente utilizou esses malwares para interagir com redes localizadas na Índia. Vale ressaltar que esse agente de ameaças. Vale ressaltar que esse agente de ameaças utiliza uma ampla variedade de ferramentas de código aberto, incluindo o AllaKore e um trojan de acesso remoto. Quanto ao Storm-0156, os agentes de ameaças adaptaram suas ferramentas para vários sistemas operacionais. 

No entanto, não foi observada nenhuma mudança nas táticas, técnicas e procedimentos (TTPs). Vale ressaltar aqui que o Storm-0156 atua principalmente contra organizações governamentais regionais, com foco principal na Índia e no Afeganistão. Algumas das principais entidades visadas pelo grupo pertencem a diversos setores, incluindo:

• Governo. 
• Tecnologia. 
• Sistemas de controle industrial. 
• Geração e distribuição de energia. 

Apresentando informações sobre o APT russa que obteve acesso aos servidores C2 do Storm-0156 paquistanês, especialistas afirmaram que: 

“Ao monitorar as campanhas do Storm-0156, identificamos 11 nós C2 que estiveram ativos de dezembro de 2022 até meados de 2023. A Black Lotus Labs observou amostras de malware ou relatos públicos correspondentes a 8 desses 11 nós. Uma análise mais detalhada revelou que todos esses 11 nós se comunicavam com três endereços IP de VPS recém-identificados.” 

Um dos aspectos mais marcantes dos VPSs foi o fato de terem sido criados por meio de um provedor que até então não havia sido identificado nas campanhas do Storm-0156. O MSTIC também confirmou que os três nós estavam, de fato, associados ao grupo APT , Secret Blizzard. De dezembro de 2022 a agosto de 2023, o APT russo utilizou os seguintes endereços IP:  

• 146.70.158[.]90
• 162.213.195[.]129
• 146.70.81[.]81

Ao comentar sobre o uso desses três nós pelo grupo APT , os especialistas afirmaram que: 

“Embora não possamos ter certeza de como a Secret Blizzard identificou os três nós restantes que não correspondiam a amostras públicas de malware ou a relatos, suspeitamos que eles possam ter utilizado um método de pivô do Protocolo de Área de Trabalho Remota (RDP) descrito aqui pela Team Cymru.”

A seguir, apresentamos uma lista dos endereços IP pertencentes ao Strom-0156 e a duração de sua interação com o APT russo: 

Ferramentas maliciosas implantadas nas redes do governo afegão

Além dos endereços IP, os especialistas mencionaram que, ao monitorar a interação entre o grupo APT russo e os nós do Storm-0156, também foi identificada atividade proveniente de redes do governo afegão. Dada a prevalência dessa atividade, os especialistas observaram que o grupo APT russo provavelmente utilizou o acesso aos servidores C2 para a implantação do malware Two-Dash. 

A comunicação relacionada à sequência de ataque foi observada a partir de vários endereços IP localizados no Afeganistão. Com base na duração e no volume de dados transferidos, pode-se concluir que os endereços IP afegãos apresentaram atividade de beaconing por apenas uma semana. Isso sugere que o agente malicioso opta deliberadamente por não manter acesso de longo prazo. Os três endereços que pareceram ser de maior interesse, no entanto, incluíram:  

• 146.70.158[.]90 – foi observado interagindo com seis endereços IP e permaneceu ativo de 23 de janeiro de 2023 a 4 de setembro de 2023.
• 162.213.195[.]129 – utilizado para se comunicar com cinco endereços IP e esteve ativo de 29 de dezembro de 2022 a 4 de setembro de 2023.
• 167.88.183[.]238 – utilizado principalmente para uma transmissão destinada a um único endereço IP, ocorrida em 17 de abril de 2023.

Além disso, também foi constatado que, de maio a outubro de 2024, as conexões persistentes provenientes das redes do governo afegão permaneceram as mesmas. No entanto, uma diferença notável foi que o C2 passou de estar associado às infecções pelo Storm-0156 para o endereço 143.198.73[.]108.

Vale ressaltar que a atividade mais significativa identificada foi o uso do malware Two-Dash. Isso ficou evidente não apenas a partir dos nós C2 do Storm-0156 localizados no Afeganistão, mas também a partir de um endereço IP dinâmico com origem no Paquistão. Ao fornecerem informações sobre o uso do painel C2, os especialistas afirmaram que: 

“Suspeitamos que eles tenham obtido acesso ao painel C2 do Storm-0156 e, em seguida, tenham se aproveitado de uma relação de confiança para se deslocar lateralmente até a estação de trabalho do operador do Storm-0156. Essa ação pode ter lhes permitido acessar outras redes previamente comprometidas pelo Storm-0156, o que inclui outras entidades governamentais do Oriente Médio.”

Até o momento, ainda não está claro se houve o uso de um movimento de downstream iniciado para comprometer as vítimas-alvo ou se foram utilizados agentes já estabelecidos pela Storm-0156. 

Conclusão

A campanha de ataques conduzida pelo grupo APT russo , Secret Blizzard, destaca a sofisticação das táticas modernas de espionagem cibernética. Ao explorar a confiança e aproveitar o acesso aos servidores C2 do Storm-0156, o grupo demonstrou uma abordagem estratégica para se infiltrar em redes confidenciais. Com ferramentas como o malware Two-Dash e movimentos laterais direcionados, suas operações ressaltam a necessidade de medidas reforçadas de segurança cibernética para proteção contra ameaças apoiadas por Estados-nação e contra as vulnerabilidades decorrentes da exploração da confiança entre grupos.

As fontes utilizadas neste artigo incluem matérias publicadas no The Hacker News e Lumen.