A empresa de cibersegurança ESET trouxe à luz do dia duas versões completamente novas do backdoor SprySOCKS, agora adaptadas para Windows. Até este momento, a ameaça era conhecida apenas em ambientes Linux, mas a evolução do malware mostra que o grupo por trás dele está a alargar o raio de ação. As duas variantes, batizadas WIN_DRV e WIN_PLUS, foram detetadas pela primeira vez no VirusTotal em abril de 2024, mas a telemetria da ESET aponta para que a atividade tenha começado bem antes.
Ataques entre 2023 e 2024 visaram governos asiáticos
Os dados recolhidos pela ESET indicam que o backdoor SprySOCKS esteve ativo ao longo de 2023 e 2024, com alvos muito específicos. Organizações governamentais nas Honduras, Taiwan, Tailândia e Paquistão foram os principais visados nesta campanha de ciberespionagem. O grupo responsável, conhecido como FishMonger, tem uma longa história de operações direcionadas e acredita-se que opere a partir de Chengdu, na China.
O FishMonger não é um nome novo no mundo da cibersegurança. Este grupo, também identificado como Earth Lusca, TAG-22, Aquatic Panda ou Red Dev 10, faz parte do ecossistema Winnti Group e já tinha sido analisado pela ESET em 2020, quando conduziu campanhas contra universidades de Hong Kong durante os protestos que marcaram aquela região.
Driver do kernel esconde ligações e processos maliciosos
O que torna estas novas variantes particularmente perigosas é o recurso a um driver do kernel do Windows. Este componente permite ao malware esconder-se de forma muito mais eficaz do que seria possível com técnicas convencionais. Ligações de rede, processos em execução, ficheiros guardados no disco e até chaves de registo ficam invisíveis para a maioria das soluções de segurança tradicionais.
Além da capacidade de ocultação, o driver consegue desviar tráfego TCP de forma inteligente. Os operadores do backdoor podem comunicar com a máquina infetada através de uma porta TCP aleatória, enquanto a porta real utilizada pela ameaça permanece completamente oculta. Esta técnica dificulta enormemente a deteção e a análise forense por parte de equipas de segurança.
Arquitetura mantém-se, mas adapta-se ao Windows
Apesar de ser uma adaptação para Windows, o backdoor SprySOCKS mantém grande parte da estrutura que já existia na versão Linux. O protocolo de comando e controlo (C&C), os mecanismos de encriptação e a lógica de processamento de comandos foram preservados praticamente intactos. A versão WIN_DRV, em particular, suporta mais de 30 comandos diferentes que permitem aos atacantes fazer praticamente tudo dentro do sistema comprometido.
Entre as capacidades estão a recolha de informação sobre o sistema, listagem de processos em execução, gestão de serviços do Windows e operações completas sobre ficheiros criação, eliminação, transferência, tudo à distância. A comunicação com os servidores de comando e controlo pode ser feita através de TCP, UDP ou WebSocket, o que dá uma flexibilidade enorme aos operadores.
Possível ligação a bootkits UEFI levanta alarme adicional
Martin Smolár, o investigador da ESET que liderou a análise desta campanha, refere que existem indícios limitados de que alguns ataques possam ter recorrido a um bootkit UEFI. A vulnerabilidade CVE-2023-24932 é apontada como uma possível via de exploração, embora as evidências não sejam ainda conclusivas. Se confirmado, isto significaria que o malware poderia instalar-se a um nível ainda mais profundo do sistema, antes mesmo do arranque do Windows.
A ESET recomenda monitorização atenta das atividades do grupo FishMonger, dado o nível de sofisticação que demonstram. O arsenal do grupo inclui ferramentas bem conhecidas na comunidade de cibersegurança, como ShadowPad, Spyder, Cobalt Strike, FunnySwitch e BIOPASS RAT, para além do próprio SprySOCKS.
Técnicas watering-hole facilitam distribuição silenciosa
Uma das estratégias preferidas do FishMonger são os ataques do tipo watering-hole. Nestes cenários, websites legítimos que são frequentemente visitados pelos alvos são comprometidos, servindo depois como pontos de distribuição do malware. Esta técnica é particularmente eficaz porque os utilizadores confiam nos sites que visitam regularmente e dificilmente suspeitam que possam estar infetados.
A descoberta destas variantes para Windows demonstra que o grupo continua a investir na evolução das suas ferramentas. A adaptação de um backdoor que até agora era exclusivo de Linux para o sistema operativo mais usado em ambientes empresariais e governamentais representa um salto significativo nas capacidades de espionagem do FishMonger.
Via: ESET
