O grupo Armored Likho lançou uma campanha de phishing que utiliza carregadores gerados por IA para implantar o novo BusySnake Stealer. A operação tem como alvo agências governamentais e organizações de energia elétrica, colocando dados sensíveis do setor público e serviços essenciais em risco. Vítimas confirmadas abrangem Rússia, Brasil e Cazaquistão, mostrando que o alcance da campanha se estende por várias regiões.
Contexto da campanha e uso de IA
Os atacantes dependem de e-mails de spear-phishing que imitam avisos oficiais do governo, pedidos de ajuda humanitária e programas sociais. Esses e-mails carregam anexos de arquivo contendo executáveis maliciosos ou arquivos de atalho do Windows. Uma vez abertos, os anexos iniciam uma cadeia de infecção em etapas enquanto apresentam conteúdo isca destinado a manter a vítima sem notar o comprometimento.
Os pesquisadores encontraram comentários excessivamente verbosos e emojis de marcadores no código-fonte dos carregadores, recursos incomuns em malware escrito inteiramente por desenvolvedores humanos. Isso sugere que os atores usaram modelos de linguagem grandes para gerar ferramentas de primeira etapa, ajudando-os a variar seu código de entrega e tornar a atribuição mais difícil. O uso de IA para ofuscação e geração de código representa uma evolução significativa nas táticas de grupos de ameaças.
Técnicas de persistência e execução
Em um caminho de infecção, uma vítima abre um arquivo compactado contendo um arquivo disfarçado como um teste psicológico. O executável lança uma pesquisa falsa, injeta código malicioso em outro processo e recupera payloads adicionais de repositórios online. Os arquivos baixados são descompactados no diretório AppData do usuário, onde o ataque continua silenciosamente.
Um segundo caminho usa um atalho LNK malicioso que esconde sua atividade de linha de comando através de espaços e quebras de linha. O atalho lança um comando ofuscado e um processo PowerShell para baixar um carregador, componentes Python e o payload BusySnake. Um documento isca pode ser aberto durante essa etapa, fazendo com que a atividade pareça legítima para o usuário.
Dados exfiltrados e capacidades do malware
O BusySnake pode roubar credenciais de navegador, cookies, dados da área de transferência, documentos locais, capturas de tela, dados relacionados a criptomoedas e arquivos de sessão do Telegram. Ele também pode aceitar comandos de seus operadores, criando um sério risco de vigilância de longo prazo e roubo de dados após um e-mail de phishing inicial bem-sucedido. O malware é protegido com ofuscação e criptografia de código que só descriptografa funções quando necessário.
Em amostras mais recentes, o malware cria tarefas agendadas através de interfaces de componentes do Windows em vez de chamar diretamente comandos de tarefa padrão, uma mudança destinada a reduzir a detecção. O BusySnake inventaria arquivos, monitora a área de transferência, procura por chaves hexadecimais longas e coleta documentos das pastas Desktop, Documents e Downloads.
Recomendações de defesa
As organizações devem tratar arquivos compactados inesperados, anexos executáveis e arquivos LNK como de alto risco, especialmente quando usam temas governamentais ou humanitários. As equipes de segurança devem monitorar a execução suspeita do PowerShell, atividade rundll32, novas tarefas agendadas e downloads incomuns de componentes Python. Os usuários devem verificar solicitações inesperadas através de um canal de confiança separado antes de abrir anexos.
É crucial atualizar as listas de bloqueio de e-mail e as regras de firewall para incluir os indicadores de comprometimento (IoCs) fornecidos pelos pesquisadores. A implementação de autenticação multifator (MFA) e a segmentação de rede podem mitigar o impacto de um comprometimento inicial.
Indicadores de comprometimento (IoCs)
Os IoCs incluem hashes SHA-256 de artefatos maliciosos de primeira etapa, domínios de infraestrutura de comando e controle (C2) e endereços IP. Os domínios incluem winupdate.live, arvax.xyz, varenie.live, lvl99.store, onetoken.ink, winupdate.ink, grked.online, ndrt.ink, myboard.chickenkiller.com e myboard.twilightparadox.com. Os endereços IP incluem 159.198.41.140, 159.198.75.219, 159.198.32.222 e 69.67.173.153.