Um novo grupo de cibercrime conhecido como Spirals está a chamar a atenção pela rapidez extrema das suas operações. Segundo detalha a Security, a mais recente intrusão documentada contra uma empresa de serviços informáticos no sul da Ásia levou menos de 24 horas desde o acesso inicial até à encriptação total dos sistemas.
A invasão começou com a exploração de um servidor Internet Information Services (IIS) exposto à web, através do qual o atacante carregou uma web shell ASP.NET. A partir deste ponto de entrada, os piratas informáticos contornaram o Controlo de Conta de Utilizador (UAC), ativaram o Remote Desktop e criaram uma conta local para garantir persistência. A equipa da Symantec observou ainda tentativas de extrair credenciais através da cópia do registo SAM e da memória do processo LSASS.
Preparação do terreno e encriptação intermitente
Antes de bloquear os sistemas, a operação procurou neutralizar de imediato qualquer defesa existente. O grupo utilizou ferramentas como revsocks, Chisel e túneis do Cloudflare para assegurar acessos remotos redundantes, movimentando-se depois para mais de uma dúzia de máquinas via WMI. Um comando PowerShell foi acionado para desativar o Microsoft Defender, eliminar definições de ameaças e interromper 23 serviços ligados a bases de dados, virtualização e cópias de segurança. A lista de produtos afetados incluiu soluções da Veeam, VMware, Hyper-V, SQL Server, Oracle e PostgreSQL.
A fase final do ataque ocorreu com a distribuição do ransomware através do utilitário PsExec. O executável foi camuflado sob o nome bitsadmin.exe para imitar o Serviço de Transferência Inteligente em Segundo Plano do Windows. O código malicioso, desenvolvido em Rust, recorre a chaves AES-128 protegidas por uma chave pública ECDH P-256 controlada pelo atacante, utilizando encriptação intermitente em ficheiros com mais de 5 MB para acelerar o processo de sequestro.
Ameaça direcionada ou nova campanha global?
As vítimas afetadas depararam-se com um ficheiro de texto denominado RECOVERY_SECTION.log na unidade C:, contendo as instruções para a negociação. O grupo exige o pagamento sob a ameaça de exposição pública da informação roubada num prazo máximo de 6 dias.
Apesar de os investigadores disporem agora de indicadores de compromisso e hashes valiosos, o Spirals foi detetado apenas num incidente isolado até ao momento. Fica por esclarecer se a ameaça foi desenhada de forma personalizada especificamente para este alvo ou se marcará o início de uma operação de extorsão mais abrangente no mercado cibernético.
Nenhum comentário
Seja o primeiro!