A divisão de Inteligência em Ameaças da Check Point Software, a Check Point Research (CPR), emitiu um alerta sobre um novo ataque cibernético, o LitterDrifter. Esta é a mais recente adição ao arsenal cibernético do grupo Gamaredon, patrocinado pelo Estado russo. O LitterDrifter é um worm VBS com duas funções principais.
Os objetivos principais do worm são a propagação automática através de drives USB e a comunicação com um conjunto de servidores de comando e controle (C&C). Este design estratégico está alinhado com os objetivos gerais do Gamaredon, permitindo ao grupo manter acesso contínuo aos seus alvos.
Apesar do Gamaredon ter como alvo principal entidades na Ucrânia, o worm LitterDrifter introduz uma dimensão global às suas operações. Foram observados sinais de possíveis infecções em países como Estados Unidos, Vietnã, Chile, Polônia, Alemanha e também em Hong Kong. Isso sugere que, como outros worms USB, o LitterDrifter pode ter se espalhado além de seus alvos iniciais.
Em um ambiente de ameaças à segurança cibernética em constante mudança, alguns adversários se destacam por sua ousadia e persistência. O Gamaredon, também conhecido como Primitive Bear, ACTINIUM e Shuckworm, é um grupo de cibercriminosos que se sobressai no domínio da espionagem russa, com foco especial nas entidades ucranianas. Enquanto muitos grupos de espionagem cibernética russos operam discretamente, o Gamaredon é notável por suas campanhas de grande escala.
O Gamaredon é conhecido por visar uma ampla gama de entidades ucranianas, demonstrando um compromisso incansável com seus objetivos de espionagem. O Serviço de Segurança da Ucrânia (SBU), a principal agência de aplicação da lei e inteligência do país, identificou os membros do Gamaredon como oficiais do Serviço Federal de Segurança Russo (FSB), adicionando uma dimensão geopolítica às atividades do grupo.
Como o Gamaredon se compara a outros grupos de espionagem cibernética russos?
O Gamaredon, também conhecido como Primitive Bear, ACTINIUM e Shuckworm, é um grupo de cibercriminosos que se destaca no campo da espionagem russa, com especial atenção às entidades ucranianas. Este grupo é conhecido por suas campanhas de grande escala e por ter como alvo uma ampla gama de entidades ucranianas.
Comparativamente, outros grupos de espionagem cibernética russos, como o Sandworm e o Fancy Bear, também são patrocinados pelo estado e têm sido associados a ataques de guerra cibernética. Fancy Bear e Sandworm estão sob as ordens da Diretoria Principal do Estado Maior das Forças Armadas (GRU), enquanto o Gamaredon é dirigido pelo Serviço Federal de Segurança da Rússia (FSB).
Outro grupo notável é o Nobelium, que esteve por trás do incidente SolarWinds em 2020 e foi identificado como parte do SVR, o Serviço de Inteligência Estrangeiro Russo.
Notícias Relacionadas
Cibersegurança industrial
Mais de 145 mil sistemas industriais expostos online
Pesquisa revela mais de 145 mil sistemas industriais expostos em 175 países. Dispositivos ICS vulneráveis representam risco crescente para infraestrutura crítica.
Segurança digital
Amazon e Audible enfrentam onda de spam com sites de forex e warez
Amazon e Audible estão sendo inundados com conteúdos maliciosos que promovem esquemas de forex e links para sites suspeitos, revelando falhas no controle de spam em plataformas digitais.
Cada um desses grupos tem suas próprias táticas, técnicas e procedimentos, mas todos compartilham o objetivo comum de realizar operações de espionagem cibernética em nome do estado russo.
Quais foram os ataques de guerra cibernética associados ao Sandworm e Fancy Bear?
O grupo Sandworm, também conhecido como Black Energy, é famoso por seus ataques cibernéticos devastadores. Desde 2014, empresas na Ucrânia ou com acesso à rede na região têm sido alvo de malwares como BlackEnergy, GreyEnergy, Industroyer, NotPetya, Exaramel. Em 2022, várias empresas também foram alvo de ameaças como WhisperGate, HermeticWiper, IsaacWiper e CaddyWiper.
Por outro lado, o Fancy Bear, também conhecido como APT28 ou Sofacy, é um grupo de ciberespionagem altamente avançado e sofisticado, que se acredita estar associado ao governo russo. Este grupo é conhecido por desenvolver campanhas de longa duração contra governos, organizações militares e de defesa, instituições acadêmicas e políticos em diferentes países. Em fevereiro, grupos patrocinados pelo estado, como o Fancy Bear, usaram programas de limpeza na tentativa de danificar a infraestrutura e sabotar sistemas de computador.
Quais foram os alvos do Fancy Bear em suas campanhas de longa duração?
O Fancy Bear, também conhecido como APT28 ou Sofacy, é um grupo de ciberespionagem altamente avançado e sofisticado, que acredita-se estar associado ao governo russo. Este grupo é conhecido por desenvolver campanhas de longa duração contra governos, organizações militares e de defesa, instituições acadêmicas e políticos em diferentes países.
Os alvos do Fancy Bear incluem setores como aeroespacial, defesa, energia, governo, mídia e dissidentes. Eles usam um implante sofisticado e multiplataforma para realizar suas operações.
Em um dos ataques mais notáveis, o Fancy Bear foi associado ao incidente SolarWinds em 2020, que afetou várias organizações governamentais e privadas, incluindo os departamentos de Defesa, Segurança Interna, Estado, Energia e Tesouro dos EUA, as Forças Armadas dos EUA, o setor de segurança nuclear e 425 empresas da lista Fortune 500, que vão desde Cisco e Equifax até Mastercard e Microsoft.
Conclusão sobre a descoberta da CPR
Os pesquisadores da Check Point Research (CPR) expuseram a infraestrutura de comando e controle do Gamaredon, destacando sua flexibilidade e volatilidade. Apesar dessas características dinâmicas, a infraestrutura mantém padrões e características anteriormente relatados, indicando uma certa consistência na abordagem do Gamaredon.
À medida que os pesquisadores continuam a desvendar as complexidades da espionagem cibernética patrocinada pelo Estado, o Gamaredon permanece como um ponto central de análise. O worm LitterDrifter é uma prova da adaptabilidade e inovação do grupo, evidenciando a constante evolução das ameaças cibernéticas. Entender e “decifrar” esse tipo de malware é fundamental para fortalecer as defesas globais de segurança cibernética contra adversários cada vez mais sofisticados.
