Descoberta e escopo da campanha
Um grupo de ameaças alinhado à China tem conduzido uma campanha de espionagem cuidadosamente planejada contra agências governamentais e infraestrutura crítica em toda a Ásia. O grupo, rastreado sob a designação temporária SHADOW-EARTH-053, está ativo desde pelo menos dezembro de 2024, mirando silenciosamente organizações em pelo menos oito países. A campanha utiliza uma combinação de ferramentas de malware e técnicas de Living-off-the-land para permanecer oculta dentro das redes das vítimas pelo maior tempo possível.
Pesquisadores da Trend Micro, Daniel Lunghi e Lucas Silva, identificaram esta campanha através da análise contínua de implantes ShadowPad mirando o Sul e Sudeste da Ásia. Sua investigação descobriu um cluster relacionado, SHADOW-EARTH-054, compartilhando hashes de ferramentas idênticos e métodos de ataque sobrepostos. Em quase metade dos ambientes visados, ambos os clusters comprometeram as mesmas organizações, com vítimas confirmadas no Paquistão, Tailândia, Malásia, Índia, Mianmar, Sri Lanka, Taiwan e Polônia.
A equipe de pesquisa avaliou que essas operações se alinham aos interesses estratégicos mais amplos da China e são mais provavelmente destinadas à ciberespionagem e roubo de propriedade intelectual.
Vetor de acesso e exploração
Os atacantes ganham acesso inicial explorando vulnerabilidades conhecidas, mas não corrigidas, em servidores Microsoft Exchange e Internet Information Services (IIS). O grupo mirou especificamente a cadeia de vulnerabilidades ProxyLogon, que inclui CVE-2021-26855, CVE-2021-26857, CVE-2021-26858 e CVE-2021-27065.
Embora patches para essas falhas estejam disponíveis há muito tempo, muitas organizações ainda executam servidores Exchange não corrigidos, tornando-os alvos fáceis. Uma vez dentro, os atacantes implantam web shells como o GODZILLA para manter acesso persistente de backdoor e executar comandos remotos à vontade.
Análise técnica detalhada do malware
O malware primário utilizado é o ShadowPad, um backdoor modular usado pela primeira vez pelo APT41 em 2017 e posteriormente compartilhado entre vários grupos alinhados à China a partir de 2019. Além do ShadowPad, os atacantes implantaram o proxy IOX para criar canais de comunicação secretos, utilizaram o Windows Management Instrumentation Command-line (WMIC) para movimento lateral e confiaram em ferramentas de tunelamento de código aberto, incluindo GOST e Wstunnel, para tunelar tráfego sobre conexões SOCKS5 e HTTPS para infraestrutura externa.
A maneira como o ShadowPad é carregado nas máquinas das vítimas é uma das partes mais tecnicamente notáveis desta campanha. Os atacantes utilizam uma técnica de DLL sideloading, colocando um DLL malicioso ao lado de um executável assinado legítimo. Quando o programa legítimo é executado, ele carrega involuntariamente o DLL malicioso em vez disso. O grupo abusou de executáveis de fornecedores incluindo Toshiba, Samsung e Microsoft, renomeando-os para se misturar com a atividade normal do sistema.
O que torna este carregador especialmente furtivo é que o payload do ShadowPad não é armazenado dentro do próprio DLL. Em vez disso, o carregador recupera um payload criptografado de uma chave de registro específica da máquina em HKEY_CURRENT_USER\Software.
Persistência e movimentação lateral
A persistência foi mantida através de uma tarefa agendada chamada "M1onltor", configurada para executar o binário sideloaded a cada cinco minutos com os privilégios mais altos disponíveis. O WMIC foi então usado para empurrar backdoors para hosts adicionais, e ferramentas de coleta de credenciais incluindo Mimikatz e Evil-CreateDump foram executadas através de processos de trabalho do IIS para extrair senhas e dados de contas.
Medidas de mitigação recomendadas
Organizações executando servidores Microsoft Exchange ou IIS voltados para a internet devem aplicar os patches de segurança mais recentes imediatamente, pois a cadeia de vulnerabilidades ProxyLogon permanece um ponto de entrada ativo para este grupo.
Onde o patching não for possível imediatamente, a implantação de Sistemas de Prevenção de Intrusão (IPS) ou Firewalls de Aplicação Web (WAF) com regras de patch virtual é fortemente recomendada. As equipes de segurança devem implementar Monitoramento de Integridade de Arquivos (FIM) em diretórios web críticos e configurar alertas para qualquer arquivo .aspx, .ashx ou .jsp novo ou modificado.
A telemetria de Detecção e Resposta de Endpoint (EDR) deve ser revisada para processos de trabalho do IIS que geram shells de comando ou ferramentas de reconhecimento. Diretórios como C:\Users\Public e C:\ProgramData devem ser observados de perto, pois o grupo usou consistentemente essas áreas como locais de preparação ao longo da campanha.
Implicações para o setor e Brasil
Embora o foco principal da campanha seja a Ásia, a natureza das ferramentas utilizadas (ShadowPad, ProxyLogon) e a dependência de infraestrutura Microsoft comum globalmente significam que organizações em qualquer lugar, incluindo o Brasil, devem estar vigilantes. A exploração de falhas não corrigidas em servidores de e-mail e web é uma tática clássica que continua a ser eficaz devido à lentidão na aplicação de patches em ambientes corporativos.
Para CISOs e equipes de SOC, a prioridade deve ser a verificação de servidores expostos à internet e a implementação de regras de detecção específicas para o comportamento do ShadowPad e do GODZILLA, especialmente em relação ao uso de WMIC e tarefas agendadas suspeitas.
O que os CISOs devem fazer imediatamente
- Verificar a presença de servidores Exchange e IIS expostos à internet e garantir que todos os patches de segurança estejam aplicados.
- Monitorar logs de WMIC para atividades anômalas, especialmente chamadas de comandos de sistema ou execução de scripts.
- Implementar regras de detecção para o uso de DLL sideloading em diretórios de sistema.
- Revisar tarefas agendadas em servidores críticos em busca de nomes suspeitos como "M1onltor".
- Considerar a segmentação de rede para limitar o movimento lateral caso um servidor seja comprometido.