Backdoor GearDoor se esconde em serviço legítimo de nuvem
Pesquisadores da Check Point Research alertaram para uma campanha de ciberespionagem de longo prazo, batizada de "Silver Dragon", que tem como alvo instituições governamentais e organizações do setor público na Europa e Sudeste Asiático. A operação, associada ao grupo de ameaça persistente avançada (APT) APT41, ligado à China, utiliza um backdoor chamado GearDoor que se vale da infraestrutura legítima do Google Drive para comando, controle e exfiltração de dados.
Mecanismo de ataque e persistência
Os ataques começam com táticas de phishing, usando documentos maliciosos que simulam comunicações oficiais para enganar funcionários de governos. Uma vez instalado, o malware GearDoor estabelece um canal de comunicação furtivo explorando a API do Google Drive. Ele cria uma pasta na nuvem da vítima, onde envia arquivos comuns (como PDFs e PNGs) para se disfarçar de tráfego legítimo e confirmar sua atividade aos operadores.
Para manter a persistência e evitar detecção, a campanha emprega um sistema de monitoramento chamado SilverScreen, que captura imagens da tela de forma eficiente, e sequestra recursos legítimos do Windows. Essa técnica de "living-off-the-land" dificulta a identificação por soluções de segurança tradicionais, pois o tráfego malicioso se mistura ao uso normal de serviços em nuvem amplamente aceitos.
Alvos e objetivos estratégicos
O principal objetivo da campanha Silver Dragon é a coleta de informações estratégicas de entidades governamentais internacionais. O uso do Google Drive como canal de C2 é particularmente astuto, pois o tráfego para domínios da Google raramente é bloqueado ou inspecionado com rigor em ambientes corporativos, permitindo que os atacantes operem por longos períodos sem serem detectados.
A associação ao APT41, grupo conhecido por realizar operações de espionagem e roubo de propriedade intelectual em benefício do Estado chinês, sugere motivações geopolíticas e de inteligência por trás dos ataques.
Recomendações de segurança
Organizações governamentais e do setor público devem reforçar a conscientização sobre phishing, especialmente para comunicações que parecem oficiais. É crucial implementar políticas de segurança que incluam a inspeção profunda de pacotes (DPI) mesmo para tráfego direcionado a serviços de nuvem confiáveis como o Google Drive. A monitoração de comportamentos anômalos na criação e acesso a pastas na nuvem, bem como o uso de ferramentas de detecção de endpoint que identifiquem a técnica de living-off-the-land, são medidas defensivas essenciais contra esta ameaça persistente.