Kaspersky relata ataques ao setor industrial visando infraestruturas na nuvem
Acessos remotos são usados para burlar medidas de segurança e roubar dados confidenciais das organizações industriais
Salvador, 09/08/2023 – Recente relatório da Kaspersky sobre ciberataques direcionados à indústria revela o modus operandis (táticas, técnicas e procedimentos avançados – TTPs) dos grupos especializados que operam neste setor. Indústrias de manufatura e sistemas de controle industrial (ICS) e integração foram particularmente afetadas, o que destaca a necessidade urgente de maior cuidado em cibersegurança.
Durante a investigação, a Kaspersky descobriu uma série de ataques direcionados com o objetivo de estabelecer um canal permanente de roubo (exfiltração) de dados. Essas campanhas mostraram semelhanças importantes com ataques já conhecidos como ExCone e DexCone, sugerindo o envolvimento do APT31, também conhecido como Judgment Panda e Zirconium.
A investigação revelou ainda o uso de recursos avançados projetados para acesso remoto, mostrando o amplo conhecimento e experiência dos grupos em contornar as medidas de segurança. Essas ferramentas possibilitaram o estabelecimento de canais contínuos para vazamento de dados, inclusive de sistemas extremamente seguros.
É importante observar que mais uma vez foram usadas técnicas de sequestro de DLL (ou seja, uso indevido de programas legítimos com vulnerabilidades para carregar DLLs maliciosas na memória) para tentar evitar a detecção precoce do ataque.
Serviços de armazenamento de dados na nuvem, como Dropbox e Yandex Disk, bem como plataformas de compartilhamento temporário de arquivos, foram usados para vazar dados e entregar malware em seguida. Também foi implantada uma infraestrutura de comando e controle (C2) no Yandex Cloud, bem como em servidores privados virtuais (VPS) regulares para manter o controle das redes comprometidas.
Nesses ataques, foram implementadas novas variantes do malware FourteenHi. Originalmente descoberta em 2021 durante a campanha ExCone, que visava entidades governamentais, essa família de malware evoluiu, com novas variantes surgindo em 2022, para atingir especificamente a infraestrutura de organizações industriais.
Além disso, foi descoberto durante a investigação um novo implante de malware, chamado de MeatBall. Esse implante backdoor tem amplas capacidades de acesso remoto.
“Não podemos subestimar os riscos significativos que os ataques direcionados representam para a indústria. À medida que as organizações continuam digitalizando suas operações e dependem de sistemas interconectados, é impossível negar as possíveis consequências de ataques bem-sucedidos à infraestrutura crítica. Essa análise enfatiza a importância fundamental da implementação de medidas resilientes de cibersegurança para proteger a infraestrutura industrial contra ameaças existentes e futuras”, comenta Kirill Kruglov, pesquisador sênior de segurança da ICS CERT da Kaspersky.
Para ler o relatório completo sobre os implantes do primeiro estágio, visite o site da ICS CERT.
Para manter seus computadores da TO protegidos de diversas ameaças, os especialistas da Kaspersky recomendam:
• Realize avaliações de segurança de sistemas da TO regularmente para identificar e eliminar possíveis problemas de cibersegurança.
• Estabeleça a triagem e avaliação contínuas de vulnerabilidades como base para um processo eficaz de gerenciamento de vulnerabilidades. Soluções dedicadas podem se tornar um assistente eficiente e uma fonte de informações práticas exclusivas, não totalmente disponíveis para o público.
• Faça as atualizações dos principais componentes da rede de TO da empresa rapidamente; aplicar correções e patches de segurança ou implementar medidas de compensação assim que for tecnicamente possível é essencial para evitar grandes incidentes que podem custar milhões devido à interrupção do processo de produção.
• Use soluções de EDR como o Kaspersky Endpoint Detection and Response para detectar rapidamente ameaças sofisticadas, investigar e corrigir incidentes efetivamente.
• Melhore a resposta a técnicas maliciosas novas e avançadas, criando e fortalecendo as habilidades de prevenção, detecção e resposta a incidentes de suas equipes. Uma das principais medidas para se conseguir isso é a realização de treinamentos dedicados de segurança da TO para equipes de segurança de TI e pessoal de TO.
