Malware avançado

FBI alerta sobre malware HiatusRAT em webcams e DVRs vulneráveis

O FBI emitiu um alerta sobre novos ataques do malware HiatusRAT que exploram webcams e DVRs vulneráveis, principalmente de marcas chinesas, visando dispositivos sem patch ou obsoletos.

17/12/2024 08:00

Imagem de pessoa em frente a computadores — Imagem: CheckPoint

O FBI emitiu um alerta nesta segunda-feira (16) sobre ataques do malware HiatusRAT, que estão visando webcams e DVRs expostos à internet e sem proteção adequada. Os dispositivos afetados são, em sua maioria, modelos chineses vulneráveis que aguardam atualizações de segurança ou que já não recebem suporte devido ao fim de vida útil.

De acordo com a notificação da indústria privada (PIN), os ataques do HiatusRAT cresceram desde março de 2024, quando cibercriminosos iniciaram varreduras de dispositivos IoT em países como EUA, Austrália, Canadá, Nova Zelândia e Reino Unido.

Os invasores exploram principalmente falhas conhecidas, como:

CVE-2017-7921
CVE-2018-9995
CVE-2020-25078
CVE-2021-33044
CVE-2021-36260

Além dessas vulnerabilidades, senhas fracas e padrões configuradas pelos fornecedores também facilitam a exploração.

Principais alvos dos ataques

As marcas mais visadas são Hikvision e Xiongmai, com os ataques focados em dispositivos com porta Telnet exposta. Ferramentas de código aberto, como Ingram (usada para escaneamento de webcams) e Medusa (para força bruta em senhas), são utilizadas pelos atacantes.

Entre as portas TCP visadas estão:
23, 26, 554, 2323, 567, 5523, 8080, 9530 e 56575.

Recomendações do FBI

O FBI orienta administradores de redes e profissionais de segurança a:

Limitar ou isolar dispositivos IoT vulneráveis do restante da rede;
Monitorar comportamentos suspeitos que possam indicar comprometimentos;
Relatar incidentes ao Internet Crime Complaint Center do FBI ou ao escritório local.

Além disso, o FBI destaca a importância de atualizar dispositivos e desativar portas desnecessárias para reduzir a exposição aos ataques.

Contexto das campanhas HiatusRAT

Os ataques recentes fazem parte de uma evolução do malware HiatusRAT, que anteriormente:

Visou servidores do Departamento de Defesa em campanhas de reconhecimento;
Comprometeu roteadores DrayTek Vigor VPN em empresas das Américas e Europa, criando redes proxy secretas para ocultar atividades maliciosas.

A Lumen, empresa responsável por identificar o HiatusRAT, explica que o malware atua instalando cargas adicionais nos dispositivos infectados, convertendo-os em proxies SOCKS5 para comunicação com servidores de controle.

A ligação com interesses chineses

Segundo a avaliação anual de ameaças de 2023 do Gabinete do Diretor de Inteligência Nacional, a mudança na estratégia do HiatusRAT para direcionar webcams e DVRs está alinhada aos interesses estratégicos chineses.

Assuntos

Mais Notícias

Mais artigos

Segurança cibernética

O Mask APT reaparece com malware multiplataforma sofisticado

O Mask APT, um grupo de espionagem cibernética ativo desde 2007, ressurge com malware multiplataforma sofisticado, explorando servidores de e-mail e drivers legítimos para ataques altamente direcionados na América Latina.

Malware PHP

Novo malware Glutton ataca frameworks PHP populares com backdoors e injeções de código

O Glutton é um novo malware que ataca sistemas com frameworks PHP populares, como Laravel e ThinkPHP, visando coletar dados sensíveis e criar backdoors. A ameaça também se foca em operadores cibernéticos, explorando suas próprias ferramentas.

afiliado-do-ransomware-lockbit-e-condenado-a-quatro-anos-de-prisao

Ataques de ransomware

Clop ransomware assume responsabilidade por ataques à plataforma Cleo

A gangue de ransomware Clop assumiu a autoria dos ataques à Cleo, explorando vulnerabilidades de segurança em plataformas de transferência de arquivos para roubo de dados.

Alerta de malware em tons vermelhos destacando um aviso de infecção, ilustrando a ameaça do vírus Perfctl em servidores Linux.

Segurança cibernética

Alemanha interrompe operação do malware BADBOX em 30.000 dispositivos com ação de Sinkhole

A Alemanha bloqueia operação de malware BADBOX, afetando 30.000 dispositivos com Android desatualizado, através de ação de Sinkhole, prejudicando segurança cibernética e promovendo fraude de anúncios.

malware-krasue-rat-tem-como-alvo-servidores-linux

Alerta cibernético

Malware IOCONTROL mira dispositivos IoT e SCADA com foco crítico em Linux

O malware IOCONTROL, vinculado ao Irã, visa dispositivos IoT e SCADA em Israel e EUA. Com capacidade modular, ele atinge infraestruturas críticas e utiliza protocolos como MQTT para ocultar tráfego malicioso.

A nova era do hacktivismo em todo o mundo: tendências e mobilização pelo Estado

Malware linux

Novo malware Pumakit atinge Linux com técnicas furtivas de rootkit

Descoberto um novo rootkit para Linux chamado Pumakit, que usa técnicas avançadas para ocultar sua presença. Com múltiplos componentes, o malware visa escalonamento de privilégios e espionagem.