Uma campanha avançada de ciberespionagem está a visar organizações na Rússia, incluindo agências governamentais e empresas dos setores da energia, transportes, educação e logística. Os atacantes estão a aproveitar-se do mecanismo de atualização do ViPNet, uma solução de segurança e redes privadas virtuais desenvolvido pela InfoTeCS que é amplamente utilizada e certificada pelas autoridades daquele país.
De acordo com um relatório publicado pelo Securelist, esta vaga de ataques — batizada de HelloNet — encontra-se ativa pelo menos desde maio. A operação baseia-se na introdução de um malware modular que atua como intermediário para a execução de comandos e roubo de dados informáticos nos alvos selecionados.
O mecanismo de infiltração no ViPNet
Para conseguir entrar nos sistemas, os piratas informáticos colocam um ficheiro malicioso com o nome wtsapi32.dll (identificado como HelloInjector) diretamente na pasta local do sistema de atualizações do ViPNet. Quando o computador arranca, o executável legítimo do programa (itcsrvup64.exe) carrega automaticamente esta biblioteca corrompida sem levantar qualquer tipo de suspeitas.
Uma vez em execução, o HelloInjector injeta o seu código diretamente no processo nativo svchost.exe. Esta técnica garante ao grupo de espionagem privilégios administrativos elevados no sistema operativo Windows, permitindo ainda que a ameaça resista a reinicializações do equipamento. Embora o método de acesso inicial à pasta local permaneça por esclarecer, não há indícios de que a infraestrutura central da InfoTeCS tenha sido comprometida.
O arsenal modular e suspeitas de autoria
O componente inicial corre na memória do computador e liga-se a um servidor de comando e controlo para receber módulos adicionais sob o nome HelloProxy. A partir daí, o ecossistema expande-se com ferramentas específicas: o HelloExecutor efetua o reconhecimento da rede local, o HelloCleaner apaga os registos de atividade para ocultar o rastro do ataque, e o HelloBackdoor, desenvolvido em linguagem Rust, assegura a transferência de ficheiros.
Os investigadores associaram provisoriamente a autoria do ataque a um grupo de língua chinesa com base em referências residuais encontradas no código, como ligações ao portal sina.com e a um servidor universitário na China. A equipa de segurança sublinha que estas evidências são fracas e podem tratar-se de pistas falsas deliberadas para desviar atenções. Recomenda-se a monitorização rigorosa de ligações associadas às portas 5003, 5060 e 443 nos sistemas que executem esta plataforma de segurança.
Nenhum comentário
Seja o primeiro!