Nova Variante do EAGERBEE Destina ISPs e Governos com Capacidades Avançadas de Backdoor
Provedores de serviços de Internet (ISPs) e entidades governamentais no Oriente Médio foram direcionados usando uma variante atualizada do framework de malware EAGERBEE.
A nova variante do EAGERBEE (aka Tumtas) vem equipado com vários componentes que permitem que o backdoor implante cargas úteis adicionais, enumere sistemas de arquivos e execute comandos shells, demonstrando uma evolução significativa.
“Os principais plugins podem ser categorizados em termos de sua funcionalidade nos seguintes grupos: Orquestrador de Plugins, Manipulação do Sistema de Arquivos, Gerenciador de Acesso Remoto, Exploração de Processos, Listagem de Conexão de Rede e Gerenciamento de Serviços”, disseram os pesquisadores da Kaspersky Saurabh Sharma e Vasily Berdnikov disse em uma análise.
O backdoor foi avaliado pela empresa russa de segurança cibernética com confiança média para um grupo de ameaças chamado CoughingDown.
EAGERBEE foi documentado pela primeira vez pelo Elastic Security Labs, atribuindo-o a um conjunto de intrusão patrocinado pelo estado e focado em espionagem, apelidado de REF5961. Um “backdoor tecnicamente simples” com recursos de comando e controle avançados e reversos e criptografia SSL, ele foi projetado para conduzir a enumeração básica do sistema e fornecer executáveis subsequentes para pós-exploração.
Posteriormente, uma variante do malware foi observada em ataques de um cluster de ameaças alinhado ao Estado chinês rastreado como Cluster Alpha como parte de uma operação de espionagem cibernética mais ampla com o codinome Palácio Crimson com o objetivo de roubar segredos militares e políticos sensíveis de uma organização governamental de alto perfil no Sudeste Asiático.
O Cluster Alpha, de acordo com a Sophos, se sobrepõe a grupos de ameaças rastreados como BackdoorDiplomacy, REF5961, Worok e TA428. O BackdoorDiplomacy, por sua vez, é conhecido por exibir semelhanças táticas com outro grupo de língua chinesa de codinome CloudComputando (também conhecido como Faking Dragon), que foi atribuído a uma estrutura de malware multi-plugin conhecida como QSC em ataques direcionados à indústria de telecomunicações no sul da Ásia.
“O QSC é uma estrutura modular, da qual apenas o carregador inicial permanece no disco enquanto os módulos principais e de rede estão sempre na memória” Kaspersky anotado de volta em novembro de 2024. “Usar uma arquitetura baseada em plug-in dá aos invasores a capacidade de controlar qual plug-in (módulo) carregar na memória sob demanda, dependendo do alvo de interesse.”
No último conjunto de ataques envolvendo o EAGERBEE, uma DLL injetora é projetada para iniciar o módulo backdoor, que é usado para coletar informações do sistema e exfiltrar os detalhes para um servidor remoto ao qual uma conexão é estabelecida por meio de um soquete TCP. No entanto, o ponto de entrada inicial exato usado nessas intrusões permanece desconhecido nesta fase.
O servidor responde posteriormente com um Plugin Orchestrator que, além de relatar informações relacionadas ao sistema para o servidor (por exemplo, nome NetBIOS do domínio; uso de memória física e virtual; e configurações de localidade e fuso horário do sistema), coleta detalhes sobre processos em execução e aguarda instruções adicionais:
- Receba e injete plugins na memória
- Descarregue um plugin específico da memória, remova o plugin da lista
- Remova todos os plugins da lista
- Verifique se o plugin está carregado ou não
“Todos os plugins são responsáveis por receber e executar comandos do orquestrador”, disseram os pesquisadores, acrescentando que eles executam operações de arquivos, gerenciam processos, mantêm conexões remotas, gerenciam serviços do sistema e listam conexões de rede.
A Kaspersky também observou que o EAGERBEE está sendo implantado em várias organizações no leste da Ásia, com duas delas violadas usando a vulnerabilidade ProxyLogon (CVE-2021-26855) para soltar shells da Web que foram usados para executar comandos nos servidores, levando à implantação de backdoor.
O EAGERBEE é “uma estrutura de malware projetada principalmente para operar na memória”, apontaram os pesquisadores. “Esta arquitetura residente em memória aprimora suas capacidades furtivas, ajudando-a a evitar a detecção por soluções tradicionais de segurança de endpoint.”
“EAGERBEE também obscurece suas atividades de shell de comando injetando código malicioso em processos legítimos. Essas táticas permitem que o malware se integre perfeitamente às operações normais do sistema, tornando significativamente mais difícil identificar e analisar.”