Introdução
Os pesquisadores da Kaspersky identificaram duas novas famílias de backdoors, OctLurk e SilkLurk, observadas em ataques contra organizações governamentais na Ásia Central desde janeiro de 2025. As vítimas identificadas estão localizadas no Afeganistão, Quirguistão, Tajiquistão, Uzbequistão, Cazaquistão e na República Árabe Síria, operando em setores como saúde, pesquisa, ministérios e agências de aplicação da lei.
Descoberta e Escopo
Os carregadores de backdoor são personalizados para cada vítima e usam informações da máquina da vítima para descriptografar a carga útil. Tanto os carregadores quanto os backdoors são fortemente ofuscados, tornando a análise mais complicada. OctLurk e SilkLurk podem baixar e injetar plugins adicionais para realizar ações maliciosas, incluindo lançamento de shells de comando, varredura de rede, dump de credenciais, keylogging e acesso remoto.
A investigação mostra que o mesmo ator de ameaça opera ambos os backdoors, e algumas vítimas infectadas com SilkLurk também contêm OctLurk. Os pesquisadores avaliam com confiança média que o mesmo ator está por trás de ambos os backdoors e que eles são de fala chinesa, embora não possam atribuir esta atividade a um grupo conhecido no momento.
Análise Técnica Detalhada
O OctLurk utiliza uma tarefa agendada chamada GoogleUpDate para executar scripts maliciosos com privilégios de sistema. O script cria um serviço que carrega um DLL malicioso, que por sua vez injeta o backdoor na memória. A descriptografia da carga útil usa uma combinação de chaves XOR e decompressão zlib, tornando a detecção automatizada mais difícil.
O SilkLurk utiliza uma técnica de side-loading, executando binários legítimos como NetSetSvc.exe ou RtkSmbus.exe para carregar DLLs maliciosas. O carregador do SilkLurk descriptografa a carga útil usando um hash do nome do computador da vítima, tornando o malware específico para cada alvo.
Post-Compromisso e Atividades
Após a infecção, os atacantes realizam fingerprinting da vítima, coletam logs de eventos e roubam credenciais usando ferramentas como Impacket secretsdump e keyloggers. Eles também instalam agentes de acesso remoto como Pandora FMS e utilizam ferramentas de varredura de rede como Fscan para mapear a infraestrutura interna.
Os atacantes também implantam um segundo estágio de payload, incluindo o malware PlugX, que é configurado para se comunicar com servidores de comando e controle (C2). A infraestrutura de ameaça depende de servidores VPS, com alguns endereços de C2 compartilhados com campanhas anteriores de malware TrustFall.
Indicadores de Compromisso (IOCs)
Os pesquisadores listaram diversos IOCs, incluindo domínios de C2 como dns[.]multitoconference[.]com e tyhbgtyuj[.]gleeze[.]com, além de hashes MD5 de arquivos maliciosos como 082d49ef9f14e6811d68c7e0e82e5069 (oleasapi.dll) e 8269d6ba1b6842f9152c90cf7add9b93 (vulkan-1.dll).
As organizações devem monitorar esses IOCs em seus sistemas e redes. A detecção de atividades suspeitas relacionadas a serviços criados com nomes suspeitos ou execução de scripts em diretórios temporários é crucial para identificar infecções.
Recomendações para CISOs
As organizações devem revisar suas políticas de segurança, focando em monitoramento de endpoints e detecção de comportamento anômalo. A implementação de soluções EDR/XDR pode ajudar a identificar a execução de backdoors e a comunicação com servidores C2.
A segmentação de rede e o princípio do menor privilégio são essenciais para limitar o movimento lateral de atacantes. A educação dos usuários sobre phishing e engenharia social também é fundamental para prevenir a infecção inicial.
Conclusão
A emergência dos backdoors OctLurk e SilkLurk destaca como os atores de ameaças refinam continuamente suas táticas para evadir detecção e manter o controle sobre redes comprometidas. A ofuscação sofisticada e o uso de dados específicos da vítima tornam a engenharia reversa e a detecção automatizada consideravelmente mais difíceis.
A vigilância contínua e a colaboração entre setores público e privado são essenciais para fortalecer a resiliência cibernética contra ameaças de espionagem cada vez mais sofisticadas. A análise detalhada desses backdoors fornece insights valiosos para a defesa contra campanhas de espionagem futuras.
Perguntas frequentes
- Quem está por trás dos ataques? Atribuído a um ator de fala chinesa, mas grupo específico não confirmado.
- Quais setores são afetados? Governo, saúde, pesquisa e logística na Ásia Central.
- Como detectar? Monitoramento de IOCs, comportamento de serviços suspeitos e tráfego de rede anômalo.
- Como se proteger? EDR, segmentação de rede e treinamento de conscientização.