Backdoor do Windows: Agentes mal-intencionados exploram o BITS como mecanismo C2

De acordo com relatórios recentes, pesquisadores de segurança cibernética do Elastic Security Labs descobriram um novo backdoor para o Windows. Ele aproveita um recurso integrado chamado Serviço de Transferência Inteligente em Segundo Plano (BITS), utilizando-o como um mecanismo de comando e controle (C2). Neste artigo, vamos nos aprofundar nos detalhes desse backdoor do Windows e conhecer as ameaças que ele representa. Vamos começar!

A descoberta inicial do backdoor do BITS no Windows

De acordo com as informações disponíveis, o backdoor do Windows foi identificado em 25 de junho de 2024 por pesquisadores de segurança da Elastic Labs. Vale ressaltar que essa descoberta ocorreu em conexão com um ataque que teve como alvo um ministro das Relações Exteriores de um país da América do Sul, cujo nome não foi especificado.

Atualmente, esse conjunto de atividades está sendo monitorado sob o código REF8747. Ao fornecer detalhes sobre o malware BITSLOTH, um backdoor para o Windows, os pesquisadores Seth Goodwin e Daniel Stepanic afirmaram que:

“A versão mais recente do backdoor, na data desta publicação, possui 35 funções de controle, incluindo recursos de registro de teclas e captura de tela. Além disso, o BITSLOTH contém diversos recursos para detecção, enumeração e execução de comandos.”

Entendendo o malware BITSLOTH

O BITSLOTH, a ferramenta utilizada pelos agentes maliciosos para coletar dados, está em desenvolvimento desde 2021. Embora a identidade dos responsáveis pelo malware BITSLOTH — um backdoor para o Windows — permaneça desconhecida, certas funções de registro e sequências de caracteres sugerem a possibilidade de os autores serem falantes de chinês.

Essa ligação é ainda mais reforçada pelo uso generalizado de outra ferramenta chamada RingQ. Os agentes de espionagem cibernética chineses utilizam o RingQ principalmente para criptografar o malware, de modo que ele permaneça indetectável e possa ser descriptografado e executado diretamente na memória. Quanto ao malware BITSLOTH, ele se apresenta na forma de um arquivo DLL chamado “flengine.dl”

Cadeia de ataque e capacidades do malware BITSLOTH

Para iniciar o ataque, o arquivo DLL é carregado por meio de uma técnica de carregamento lateral combinada com um executável. O executável está associado a um programa da Image-Line conhecido como FL Studio (fl.exe). Além disso, os autores da ameaça adicionaram um novo componente de agendamento ao malware BITSLOTH.

Esse componente permite que eles controlem quando o malware deve ser executado em um ambiente específico, e esse recurso já foi observado em outros malwares, como o EAGERBEE.

No que diz respeito às capacidades do malware BITSLOTH, um backdoor do Windows, ele é capaz de realizar uma série de ações com intenções maliciosas, entre as quais:

• Obtenção de dados confidenciais.
• Reconfigurando a persistência.
• Encerramento de processos arbitrários.
• Envio e download de arquivos.
• Executar comandos.
• Registrar teclas e capturar telas.
• Reiniciar ou desligar o dispositivo.
• Realização de levantamento e descoberta.
• Desconectar as vítimas visadas de seus dispositivos.
• Alteração dos modos de comunicação para HTTP ou HTTPS.
• Atualizar-se ou excluir-se dos sistemas comprometidos.

Quem deseja garantir proteção contra ameaças cibernéticas deve compreender que é viável para os agentes mal-intencionados utilizarem o backdoor BITS do Windows para realizar ataques, uma vez que o tráfego de rede do BITS é difícil de monitorar. Vale ressaltar que essas informações devem ser levadas em consideração à medida que as organizações desenvolvem uma estratégia de segurança cibernética.

Conclusão

A descoberta do malware BITSLOTH destaca a capacidade dos cibercriminosos de explorar o BITS como um mecanismo C2. As organizações devem reforçar as medidas de segurança cibernética, monitorar o tráfego de rede com rigor e manter-se informadas para se defenderem contra ameaças tão sofisticadas.

As fontes utilizadas neste artigo incluem matérias publicadas no The Hacker News e no Elastic Security Labs.