CactusPete APT ligado à China usando backdoor bisonal atualizado para alvejar militares do Leste Europeu
Descoberto pela primeira vez pela Kaspersky no início deste ano em fevereiro, o CactusPete APT está usando um novo backdoor de malware para atingir as vítimas em todo o Leste Europeu.
De acordo com os pesquisadores, o grupo CactusPete normalmente visa dados confidenciais mantidos por organizações diplomáticas, militares e de infraestrutura.
- Em um relatório recente , os pesquisadores revelaram que o grupo está usando uma nova variante da porta dos fundos Bisonal para atingir os setores financeiro e militar localizados na Europa Oriental.
- Eles encontraram mais de 300 amostras quase idênticas, que apareceram entre março de 2019 e abril de 2020, o que resulta em mais de 20 novas amostras por mês.
Como funciona o ataque?
- Os invasores usaram principalmente mensagens de spear-phishing com anexos maliciosos para distribuição de malware.
- O grupo tem usado algumas vulnerabilidades descobertas recentemente (como CVE-2018-8174 afetando o mecanismo Windows VBScript) e outras abordagens para entregar suas cargas maliciosas.
As táticas do APT
- Além de reconhecer e obter acesso mais profundo a uma rede comprometida, o grupo CactusPete utiliza várias variantes personalizadas do Mimikatz junto com malware de escalonamento de privilégios e keyloggers para fins de coleta de credenciais.
- O adversário também emprega outro malware, como o backdoor DoubleT, junto com ShadowPad, Curious Korlia, CALMTHORNE e DOUBLEPIPE.
Fechando linhas
Embora não seja o grupo APT mais sofisticado, o CactusPete ainda parece relativamente ter algum sucesso nos últimos tempos. De acordo com a Kaspersky, duas coisas por trás de seu sucesso são o uso de código complexo, como o ShadowPad, e a criação de e-mails de phishing confiáveis. O treinamento regular e a conscientização sobre ataques de spear-phishing dentro de uma organização, juntamente com o conjunto certo de ferramentas e processos de segurança em vigor, podem salvar o dia.
