De herói a vilão do cibercrime

Uma boa arma nas mãos erradas pode causar grandes estragos. Isso vale tanto para objetos como revólveres, aviões, tanques de guerra quanto para as inovações tecnológicas do mundo cibernético. É sobre este assunto que Lotem Finkelsteen, head de Inteligência de Ameaças da divisão Check Point Research (CPR) da Check Point Software Technologies, fala neste artigo intitulado “De herói a vilão do cibercrime”. ASfinal, quem é o vilão e quem é o heroi desta história. Descubra a seguir.

De herói a vilão do cibercrime

Algo bom em mãos erradas pode causar sérios danos. Isso é verdadeiro em se tratando do mundo cibernético, no qual a plataforma Cobalt Strike se tornou uma espécie de “bicho-papão”. Esta ferramenta foi originalmente criada por hackers éticos para ajudar as organizações a testar a proteção dos sistemas de computação, avaliar os níveis de segurança e analisar a resposta a possíveis ataques. Mas, o lado sombrio nunca desiste, então, quando cibercriminosos viram o enorme potencial do Cobalt Strike, eles decidiram explorar a plataforma para o cibercrime. A plataforma Cobalt Strike é especialmente popular graças à sua versatilidade e a um agente chamado “Beacon” que permite obter acesso não autorizado, aumentar os níveis de privilégio, executar códigos remotamente e roubar dados ou ajudar com camuflagem e posterior propagação e movimentação lateral. Além disso, a ferramenta pode ser facilmente modificada para ajustar suas capacidades. Uma versão pirateada e crackeada está disponível em fóruns ilegais na web, e o código-fonte da versão 4.0 foi vazado no final de 2020. A Cobalt Strike (CS) reserva-se o direito de decidir a quem venderá sua plataforma. Eles evitam vender o produto a fornecedores de segurança cibernética, pois isso é contra seus interesses comerciais. Eles também tentam se abster de comercializar o produto para hackers Black Hat, pois entendem o perigo. Portanto, a versão crackeada é algo que todo mundo precisa, defensores e opositores.

Os cibercriminosos usam uma variedade de técnicas e ataques. Às vezes, eles querem ser vistos para demonstrar os danos causados, por exemplo, em ataques de negação de serviço distribuído (DDoS) em sites. Outras vezes, eles querem distrair e tirar a atenção de outros ataques apenas para testar suas habilidades, ou mostrar sua força e virar notícia.

Mas, de vez em quando, eles tentam se esgueirar pelos sistemas sem serem detectados para não levantar suspeitas, de modo que a ameaça permanece sem ser descoberta pelo máximo de tempo possível. É aí que entra o Cobalt Strike, parte das campanhas financeiras e de espionagem dos maiores grupos de cibercriminosos dos últimos anos, como Cozy Bear, Carbanak e Hancitor. Até mesmo um dos botnets mais destrutivos, o Trickbot, usa o Cobalt Strike desde 2019 para reconhecimento e posterior proliferação. Em 2020, o Trickbot utilizou o Cobalt Strike para espalhar o malware Anchor e o ransomware Ryuk, que foi usado em uma onda de ataques cibernéticos a hospitais, instalações médicas e outras organizações ao redor do mundo. O Cobalt Strike também é um componente popular de ataques por utras ameaças, como ransomware Bazaar, Qbot e DoppelPaymer. Resumindo, a Plataforma Cobalt Strike é uma ferramenta valiosa para uma ampla variedade de ataques.

Analisamos grupos de cibercriminosos e de ameaças que usam as capacidades e os recursos do Cobalt Strike de uma forma ou de outra, mas o que isso significa exatamente e quais são os casos e ataques específicos descobertos pelas equipes de segurança? Por exemplo, os cibercriminosos, presumivelmente do grupo patrocinado pelo estado chinês TAG-22, usaram o Cobalt Strike nos estágios iniciais de um ataque de espionagem a empresas de telecomunicações em Taiwan, Nepal e Filipinas. O Cobalt Strike também foi usado em combinação com o código malicioso BIOPASS, que pode espionar vítimas, disparar comandos e obter acesso remoto a dispositivos, para atacar empresas chinesas de jogos de azar online. E, recentemente, um ataque massivo de ransomware teve como alvo mais de 200 empresas que usavam os sistemas da Kaseya. A Kaseya agora alerta que os atacantes estão tentando imitar a empresa em campanhas de phishing e espalhar o Cobalt Strike usando anexos ou links maliciosos sob o pretexto de uma
“atualização de segurança”.