Ataque do “Vizinho Mais Próximo”: Espiões russos utilizam nova técnica

Notícias recentes reportagens da mídia citaram uma empresa de segurança cibernética, a Volexity, alegando que espiões russos utilizaram uma técnica de ataque sem precedentes. O que agora está sendo chamado de ataque do vizinho mais próximo aproveita redes Wi-Fi próximas e as utiliza para obter acesso oculto. Neste artigo, abordaremos como o agente malicioso aproveita a rede, as diferentes etapas do ataque do vizinho mais próximo, além dos protocolos de mitigação de riscos que podem ser usados para aprimorar a proteção. Vamos começar!

Ataque do vizinho mais próximo: Descoberta inicial

A descoberta inicial do ataque de vizinho mais próximo remonta a fevereiro de 2022, quando a Volexity detectou uma assinatura de detecção personalizada proveniente do ambiente de um cliente. O sinal indicava que um servidor na rede do cliente havia sido comprometido. Durante a investigação, foi identificado um agente de ameaça persistente avançada (APT) habilidoso e motivado.

De acordo com os relatórios, o agente malicioso estava utilizando um vetor de ataque inédito, ao qual a Volexity não havia sido exposta antes desse incidente. Após a conclusão da investigação, foi revelado que a entidade por trás do ataque era um agente malicioso russo identificado como GruesomeLarch. O agente malicioso é conhecido publicamente como:  

• APT28.
• Tempestade na Floresta.
• Sofacy. 
• Fancy Bear.

Além disso, também se constatou que o ataque de vizinho mais próximo havia escolhido a organização como alvo para coletar dados de pessoas com conhecimento especializado e envolvimento em projetos relacionados à Ucrânia. O agente de APT invadiu a rede da organização alvo conectando-se à rede Wi-Fi corporativa. Oferecendo informações valiosas, os especialistas afirmaram que:  

“O agente malicioso conseguiu isso ao encadear sua estratégia para comprometer várias organizações próximas ao alvo pretendido, a Organização A. Isso foi feito por um agente malicioso que se encontrava a milhares de milhas de distância e separado da vítima por um oceano. A Volexity não tem conhecimento de nenhuma terminologia que descreva esse estilo de ataque e o batizou de Ataque do Vizinho Mais Próximo.”

Detalhes da violação de segurança da rede Wi-Fi da GRU

Apesar da distância óbvia, o agente mal-intencionado conseguiu se autenticar na rede da organização-alvo ao obter credenciais válidas. Para obter essas credenciais, um serviço acessível ao público na rede da organização foi alvo de ataques de “password-spray”. Vale ressaltar que o serviço era utilizado para validação de credenciais. 

Um fator fundamental aqui é que o incidente poderia ter sido evitado se a organização tivesse utilizado a autenticação multifatorial (MFA). No entanto, ela exigia apenas o nome de usuário e a senha válidos do domínio do usuário para a autenticação. Para contornar a distância geográfica, o hacker primeiro comprometeu outras organizações em prédios próximos ao alvo, daí o nome – ataque do vizinho mais próximo.

Especialistas da Volexity, ao compartilharem suas percepções, afirmaram que a estratégia do hacker era:  

“Invadir outra organização e, em seguida, mover-se lateralmente dentro dela para localizar sistemas aos quais pudessem acessar e que tivessem conexão dupla. Uma vez bem-sucedido nessa tentativa, ao encontrar um sistema conectado à rede por meio de uma conexão Ethernet com fio, o agente mal-intencionado acessaria o sistema e utilizaria seu adaptador Wi-Fi.”

Após obter acesso ao sistema alvo, o ataque de vizinho mais próximo se conectou ao SSID da rede Wi-Fi corporativa da organização. Isso não só garantiu a autenticação, mas também permitiu que o hacker espião russo tivesse acesso à rede. 

Quando um hacker invade uma organização e, em seguida, realiza ataques de “credential stuffing” para comprometer outras organizações próximas a ela, utilizando suas redes Wi-Fi, constitui uma nova classe de ataque. Essa tática foi bem-sucedida devido à ausência de autenticação multifatorial (MFA), o que significa que credenciais válidas e proximidade física eram os únicos requisitos que o hacker precisava cumprir para estabelecer uma conexão que seria posteriormente explorada.  

Atividades do agente mal-intencionado após a violação 

Após receber um alerta referente ao ataque de vizinho mais próximo, especialistas em segurança começaram a procurar arquivos que estavam sendo gravados e executados a partir da raiz do “diretório C:\ProgramData”. Como resultado, as atividades de hackers que foram descobertas incluem: 

• Um arquivo chamado “C:\ProgramData\servtask.bat” está sendo gravado e executado.
• Um arquivo chamado “servtask.bat” que invoca o utilitário de linha de comando do Registro da Microsoft e o PowerShell para executar vários comandos, entre os quais:
  • reg save hklm\sam C:\ProgramData\sam.save
  • reg save hklm\security C:\ProgramData\security.save
  • reg save hklm\system C:\ProgramData\system.save
  • PowerShell -c “Get-ChildItem C:\ProgramData\sam.save, C:\ProgramData\security.save, C:\ProgramData\system.save ^| Compress-Archive -DestinationPath C:\ProgramData\out.zip”

Como as estruturas do Registro sensíveis haviam sido exportadas e compactadas em um arquivo ZIP, a equipe de segurança começou a examinar o histórico de eventos do EDR, a memória do sistema e os principais atributos do disco. Isso revelou o seguinte:  

• Houve um acesso por meio do RDP proveniente de uma conta de usuário sem privilégios no servidor.
• Um arquivo chamado “DefragmentSrv.zip” estava presente no sistema, no diretório desse usuário, e também foi descompactado por meio da versão gráfica do WinRAR instalada no sistema.
• Dois arquivos chamados “DefragmentSrv.exe” e “DefragmentSrv.bat” também foram criados e executados, o que acabou levando ao “servtask.bat” ser gravado e executado. 
• Um arquivo chamado “wayzgoose52.dll” também foi gravado em um diretório falso localizado em “C:\ProgramData\Adobe\v3.80.15456.”

Apresentando mais informações sobre as atividades de ataques do tipo “vizinho mais próximo”, os especialistas afirmaram que:

“O invasor executou um utilitário nativo da Microsoft chamado Cipher.exe, que apagou seus rastros ao apagar os arquivos de forma segura. Embora não seja a primeira vez que a Volexity se depara com um invasor que apaga seus rastros por meio de métodos antiforenses, é a primeira vez que a Volexity observa isso sendo feito com o utilitário Cipher.exe.”

Medida de mitigação contra hackers militares russos

Enquanto a investigação estava em andamento, a Volexity colaborou com a organização afetada e tomou várias medidas para mitigar e prevenir ataques. Algumas dessas medidas incluem a implementação de contramedidas e o aprimoramento de áreas nas quais não havia, anteriormente, registros de atividades nem visibilidade de rede. 

Graças a esses protocolos, os especialistas em segurança conseguiram obter uma compreensão mais aprofundada do ataque de vizinho mais próximo. Embora suas credenciais tivessem sido redefinidas, o ataque de vizinho mais próximo conseguiu, mais uma vez, obter acesso à rede Wi-Fi corporativa da organização. 

No entanto, os protocolos de registro e visibilidade de rede que haviam sido implantados durante a investigação garantiram que os especialistas pudessem realizar uma captura completa de pacotes de todas as atividades envolvendo os sistemas conectados ao Wi-Fi. Ao comentar sobre o conteúdo dos pacotes capturados, os especialistas afirmaram que: 

“A análise dessa captura de pacotes revelou que o sistema do invasor havia enviado consultas ao Serviço de Nomes NetBIOS (NBNS) que revelaram o nome do computador e o domínio do Active Directory ao qual ele estava vinculado. Esse domínio do Active Directory revelou exatamente de onde o invasor estava se conectando, o que acabou sendo uma organização (“Organização B”) localizada do outro lado da rua.”

Análises mais aprofundadas revelaram que a maior parte dos dados do incidente havia sido copiada de volta para o sistema do invasor. No entanto, em alguns casos, o ataque de vizinho mais próximo havia armazenado os dados em diretórios de um servidor web voltado para o público, e os arquivos foram então extraídos por meio de downloads externos. 

Vale ressaltar que essa é uma técnica comum utilizada por invasores em diversos tipos de violações. Monitorar os protocolos relacionados a essa atividade pode ser difícil. No entanto, é possível identificar oportunidades se for possível monitorar arquivos inesperados em servidores web ou transferências de arquivos de grande porte. Garantir o funcionamento adequado dos logs de servidor também pode ajudar na identificação dessas atividades. 

Conclusão 

O ataque do vizinho mais próximo representa uma evolução assustadora na espionagem cibernética, combinando invasões baseadas na proximidade com roubo sofisticado de credenciais e táticas antiforenses. Aproveitando-se de vulnerabilidades como a ausência de autenticação multifatorial (MFA) e utilizando redes próximas, hackers como o APT28 demonstram como ameaças avançadas podem ter como alvo dados confidenciais com precisão. 

As organizações devem adotar contramedidas robustas, incluindo autenticação multifatorial, maior visibilidade da rede e análise minuciosa dos registros, para mitigar os riscos. A vigilância contra técnicas inovadoras como essas é crucial, já que as ameaças cibernéticas continuam a evoluir, ultrapassando os limites das defesas de segurança tradicionais.

As fontes utilizadas neste artigo incluem matérias publicadas na Wired e Volexity.