Ciberespiões chineses atacam governos com backdoor mais avançado

Pesquisadores de segurança descobriram o Daxin, um backdoor perigoso que pode ter sido criado por chineses com a finalidade de espionar outos países. De acordo com os pesquisadores, esse backdoor consegue se implantar mesmo em redes corporativas reforçadas que apresentam recursos avançados de detecção de ameaças. Então, os ciberespiões chineses atacam governos com backdoor mais avançado.

De acordo com um relatório técnico publicado pela equipe Threat Hunter da Symantec, o Daxin é um dos backdoors de origem chinesa mais avançados já vistos.

Um ponto de diferenciação no Daxin é sua forma, que é um driver de kernel do Windows, uma escolha atípica no cenário de malware. Sua furtividade vem de seus recursos avançados de comunicação, que misturam sua troca de dados com o tráfego regular da Internet.

O Daxin é, sem dúvida, o malware mais avançado que os pesquisadores da Symantec viram usado por um ator ligado à China, disse a Symantec em um novo relatório.

Considerando seus recursos e a natureza de seus ataques implantados, o Daxin parece ser otimizado para uso contra alvos protegidos, permitindo que os invasores se aprofundem na rede de um alvo e extraiam dados sem levantar suspeitas.

Ciberespiões chineses atacam governos com backdoor mais avançado. Ele se esconde no tráfego de rede legítimo

Os backdoors fornecem aos agentes de ameaças acesso remoto a um sistema de computador comprometido. Assim, possibilita que eles roubem dados, executem comandos ou baixem e instalem outros malwares.

Como essas ferramentas são normalmente usadas para roubar informações de redes protegidas ou comprometer ainda mais um dispositivo, elas precisam envolver alguma forma de criptografia ou ofuscação de transferência de dados para evitar o disparo de alarmes nas ferramentas de monitoramento de tráfego de rede.

Daxin faz isso monitorando o tráfego de rede em um dispositivo para padrões específicos. Uma vez que esses padrões são detectados, ele irá sequestrar a conexão TCP legítima e usá-la para se comunicar com o servidor de comando e controle.

Ao sequestrar as comunicações TCP, o malware Daxin pode ocultar comunicações maliciosas no que é percebido como tráfego legítimo e, assim, permanecer indetectável.

O uso de conexões TCP sequestradas pela Daxin oferece um alto grau de sigilo para suas comunicações e ajuda a estabelecer conectividade em redes com regras rígidas de firewall. Também pode reduzir o risco de descoberta por analistas de SOC monitorando anomalias de rede, explica o relatório da Symantec.

Isso essencialmente abre um canal de comunicação criptografado para transmitir ou roubar dados, tudo feito por meio de um túnel TCP aparentemente inócuo.