APT-Q-95 utiliza GhostContainer e tunelamento para comprometer redes corporativas
Expertos da Equipe de Resposta a Emergências Global (GERT) da Kaspersky descobriram uma nova campanha do grupo NightEagle APT, apresentando o backdoor GhostContainer e ferramentas hospedadas no GitHub. O grupo, ativo desde pelo menos 2023 e focado originalmente em organizações na Ásia, agora está atacando empresas na Rússia. A campanha utiliza técnicas de persistência e movimento lateral atualizadas.
Acesso inicial e GhostContainer
Na maioria dos incidentes, os atacantes usaram credenciais válidas comprometidas para obter acesso às VPNs corporativas. As conexões VPN originaram-se de endereços IP no segmento russo vinculados a tunéis Cloudflare WARP, bem como de endereços IP associados a provedores de infraestrutura virtual europeus.
Os atacantes implantaram o backdoor GhostContainer em servidores Microsoft Exchange. Ele incorpora componentes de vários projetos de código aberto, incluindo o tunelamento Neo-reGeorg, uma exploração para a vulnerabilidade CVE-2020-0688 e a classe GhostWebShell da utilidade ysoserial. O backdoor é uma montagem .NET contendo três classes que implementam sua funcionalidade principal: Stub, App_Web_843e75cf5b63 e App_Web_8c9b251fb5b3.
O Stub processa comandos C2 entregues ao sistema infectado através dos cabeçalhos x-owa-urlpostdata e evade a detecção pela Interface de Análise Antimalware (AMSI) e mecanismos de registro de eventos do Windows, sobrescrevendo endereços em amsi.dll e ntdll.dll.
Redirecionamento de tráfego e movimento lateral
Uma vez que os atacantes ganham privilégios suficientes durante um ataque, eles aproveitam o RDP para se mover lateralmente dentro do segmento de rede interna. Para isso, baixam e executam ferramentas para tunelamento e redirecionamento de tráfego de rede. Os atacantes usaram repositórios do GitHub para hospedar suas ferramentas arquivadas, disfarçando os nomes para parecerem legítimos.
Os atacantes combinaram duas ferramentas para tunelamento de tráfego: Microsoft dev tunnels e rdp2tcp. O uso de Microsoft dev tunnels permite expor a porta 3389 (RDP) no sistema comprometido, enquanto o rdp2tcp tunela o tráfego TCP sobre uma conexão RDP estabelecida. A combinação permite que os atacantes mantenham o acesso à rede usando serviços legítimos sem abrir portas suspeitas adicionais.
Os atacantes também usaram a utilidade atexec do toolkit Impacket para criar tarefas agendadas em sistemas alvo. Essas tarefas permitiram o encaminhamento de porta de rede através da funcionalidade padrão do Windows. Em um incidente, eles exploraram uma vulnerabilidade de implementação de RDP bem conhecida, CVE-2019-0708 (BlueKeep), para criar uma conta local e adicioná-la aos grupos Administradores e Usuários de Área de Trabalho Remota.
Detecção e indicadores de comprometimento
As soluções da Kaspersky identificam a atividade maliciosa descrita acima em vários estágios do ataque. O backdoor é detectado como Trojan.MSIL.GhostContainer.gen. A atividade de tunelamento e redirecionamento de tráfego é detectada por regras específicas no Kaspersky Endpoint Detection and Response Expert (KEDR Expert).
Os indicadores de comprometimento (IoCs) incluem hashes de arquivos como AdobeSync.exe, adobe_32.exe e App_Web_Container_1.dll, além de URLs de repositórios GitHub disfarçados. Equipes de SOC devem monitorar eventos de log do Windows relacionados à criação de canais RDP e atividades de tunelamento.
Recomendações para CISOs
Para expandir o escopo geográfico de seus alvos, o NightEagle está atualizando seus métodos e adotando novas técnicas de persistência e movimento lateral. Apesar dos esforços do grupo para permanecer oculto, a detecção oportuna de anomalias combinada com uma abordagem abrangente de proteção de infraestrutura pode dificultar significativamente os atacantes. Como os atacantes dependem de ferramentas legítimas conhecidas e vulnerabilidades de infraestrutura, um monitoramento bem configurado pode ajudar a detectar a presença do NightEagle na rede.
Recomenda-se a aplicação de patches para o CVE-2019-0708 (BlueKeep), a revisão de credenciais de acesso remoto e a implementação de monitoramento de tráfego de rede para identificar conexões de tunelamento suspeitas. A análise de similaridade de amostras de arquivos pode ajudar a atribuir a atividade ao grupo NightEagle.