APT norte-americana explora zero-day do Exchange em ataque à China
São Paulo — InkDesign News — Uma nova ameaça persistente avançada (APT), identificada como “NightEagle Group,” está explorando uma falha zero-day no Microsoft Exchange, visando roubar informações valiosas de setores críticos da China, incluindo tecnologia e defesa.
Vetor de ataque
O NightEagle Group tem atacado organizações chinesas de interesse estratégico, utilizando uma vulnerabilidade desconhecida no Microsoft Exchange. A equipe RedDrip da Qianxin Technology revelou que, ao longo de um ano, a APT conseguiu extrair “todos os e-mails-chave de alvos selecionados” através da exploração dessa falha. A operação foi descoberta após um pedido anômalo de DNS para o domínio “synologyupdates.com,” não registrado como domínio legítimo da Synology, uma fabricante de dispositivos de armazenamento.
Impacto e resposta
O malware utilizado pelo grupo é uma variante personalizada da ferramenta de código aberto “Chisel,” que cria túneis criptografados entre sistemas, permitindo acesso a redes protegidas. O NightEagle executou o Chisel em um sistema alvo como uma tarefa agendada, estabelecendo assim uma conexão com sua infraestrutura de comando e controle (C2). Através deste túnel, o atacante conseguiu roubar o “machineKey” do servidor de e-mail Exchange, um componente essencial para a criptografia de dados sensíveis, permitindo a leitura remota de e-mails.
Análise e recomendações
O presidente da Bambenek Consulting, John Bambenek, mencionou que “agências têm como missão declarar atividades de espionagem, com foco em objetivos de segurança nacional” (“we have agencies whose stated missions are exactly this”). O envolvimento de atores do setor tecnológico local e suas possíveis interações com operações cibernéticas governamentais levantam preocupações sobre a conformidade e a vigilância de dados. Organizações devem revisar suas atualizações de segurança e implementar padrões rigorosos de monitoramento de atividades de rede para mitigar tais ataques.
Projeções indicam que a frequência de ataques visando setores críticos da tecnologia deve aumentar, especialmente em um contexto onde as relações geopolíticas influenciam a cibersegurança global. Medidas proativas serão cruciais para proteger dados sensíveis.
Fonte: (Dark Reading – Segurança Cibernética)
