O grupo de hacking apoiado pelo estado iraniano, rastreado como Nimbus Manticore (também conhecido como GalaxyGato, Mirage Kitten, Smoke Sandstorm, Subtle Snail e UNC1549), foi atribuído a um novo conjunto de ataques contra entidades no Oriente Médio, África e Sul da Ásia. As intrusões envolvem o uso de uma porta dos fundos do Windows anteriormente não documentada chamada NightLedger e dois tuneladores WebSocket personalizados, representando uma evolução nas táticas de grupos de ameaças avançadas persistentes (APTs).
Perfil do grupo Nimbus Manticore
O Nimbus Manticore é um grupo de hacking de longa data associado a atividades de espionagem e sabotagem. A atribuição de múltiplos nomes de código reflete a natureza evolutiva das operações do grupo e a dificuldade em rastrear suas atividades ao longo do tempo. O grupo tem sido ativo em campanhas de longo prazo, focando em setores estratégicos e governamentais. A utilização de novos malwares e técnicas de evasão indica uma capacidade de adaptação rápida às medidas de defesa implementadas pelas vítimas.
A nova porta dos fundos NightLedger
A porta dos fundos NightLedger é uma ferramenta de acesso remoto desenvolvida especificamente para o Windows. Diferente de malwares genéricos, o NightLedger foi projetado para operar de forma furtiva, minimizando a detecção por soluções de segurança tradicionais. A ferramenta permite que os atacantes mantenham acesso persistente aos sistemas comprometidos, executando comandos, extraindo dados e movendo-se lateralmente dentro da rede. A natureza não documentada da ferramenta sugere que ela foi desenvolvida internamente pelo grupo ou adquirida de fontes especializadas.
Túneis WebSocket personalizados
Além da porta dos fundos, o grupo utiliza dois tuneladores WebSocket personalizados para comunicação com seus servidores de comando e controle (C2). O uso de WebSocket permite que o tráfego malicioso se misture com o tráfego legítimo da web, dificultando a detecção por firewalls e sistemas de prevenção de intrusão. Os tuneladores são projetados para contornar restrições de rede e garantir que a comunicação com o C2 permaneça estável, mesmo em ambientes com políticas de segurança rigorosas.
Alvos e geografia
Os ataques foram direcionados a entidades no Oriente Médio, África e Sul da Ásia, regiões que frequentemente são alvo de atividades de espionagem e ciberataques patrocinados por estados. Os setores afetados podem incluir governos, infraestrutura crítica, telecomunicações e organizações financeiras. A escolha desses alvos sugere que o grupo está focado na coleta de inteligência estratégica e na capacidade de causar impacto operacional nas regiões visadas.
Implicações para a segurança
A descoberta do NightLedger e dos tuneladores WebSocket destaca a necessidade de monitoramento contínuo do tráfego de rede e da atividade de endpoints. A capacidade do grupo de usar técnicas de evasão avançadas significa que as defesas tradicionais podem não ser suficientes. As organizações devem adotar uma abordagem de segurança em camadas, incluindo monitoramento de comportamento de rede, análise de tráfego WebSocket e detecção de anomalias em processos do Windows.
Recomendações de defesa
As equipes de segurança devem revisar os logs de rede em busca de conexões WebSocket incomuns ou tráfego de dados anormal. A implementação de soluções de detecção de intrusão baseadas em comportamento pode ajudar a identificar atividades suspeitas. A aplicação de patches de segurança e a atualização de sistemas operacionais são essenciais para mitigar vulnerabilidades conhecidas. Além disso, a segmentação de rede e o controle de acesso rigoroso podem limitar o movimento lateral de atacantes dentro da infraestrutura.
Perguntas frequentes
Qual é o objetivo do grupo Nimbus Manticore?
O grupo é associado a atividades de espionagem e sabotagem, focando em setores estratégicos e governamentais em regiões específicas.
Como o NightLedger é detectado?
A detecção requer monitoramento avançado de tráfego de rede e análise de comportamento de processos, pois a ferramenta foi projetada para ser furtiva.
Quais são os riscos para as organizações?
Os riscos incluem acesso não autorizado a sistemas, roubo de dados e potencial uso dos sistemas comprometidos para ataques adicionais.