Descoberta e escopo da campanha
O grupo de hacking patrocinado pelo estado iraniano OilRig, também conhecido como APT34 e Helix Kitten, foi identificado utilizando uma técnica avançada de esteganografia para esconder sua configuração de comando e controle (C2). A ameaça, identificada por analistas do 360 Advanced Threat Research Institute, envolve a ocultação de dados criptografados dentro de um arquivo de imagem PNG armazenado no Google Drive.
Essa abordagem permite que o tráfego malicioso se misture ao tráfego legítimo da nuvem, dificultando a detecção por ferramentas de segurança tradicionais. O grupo, ativo desde 2016, tem como alvo agências governamentais, instituições financeiras e empresas de energia, buscando roubar informações políticas e militares sensíveis.
Técnica de esteganografia LSB
A técnica utilizada é baseada em LSB (Least Significant Bit), onde dados são embutidos nos bits menos significativos dos pixels da imagem. Isso torna a imagem visualmente indistinguível de uma foto normal, mas capaz de carregar configurações de C2 criptografadas. O processo envolve a extração desses bits por um loader malicioso, seguido de descriptografia via Base64 e XOR para revelar os endereços dos servidores de comando.
O ataque começa com um arquivo Excel malicioso que, ao ser aberto, executa macros para compilar um loader em C#. Este loader busca um arquivo de texto no GitHub que contém um link para a imagem no Google Drive. A imagem, por sua vez, contém a configuração do C2, incluindo tokens de bot do Telegram e endereços de módulos de download.
Linha do tempo do incidente
A campanha foi observada durante operações de caça a ameaças de rotina. O arquivo Excel, intitulado "Final List_Tehran.xlsm", foi projetado para parecer legítimo, explorando eventos de protestos sociais no Irã para aumentar a credibilidade. Uma vez que o usuário habilita as macros, a cadeia de infecção é ativada silenciosamente.
O loader se conecta ao GitHub, baixa a configuração e, em seguida, busca a imagem no Google Drive. Os módulos de malware são baixados e carregados diretamente na memória para evitar a detecção por ferramentas de varredura de disco. A persistência é mantida através de tarefas agendadas do Windows, e o malware envia mensagens de heartbeat para confirmar o controle do sistema.
Implicações para defensores
As equipes de segurança devem desabilitar a execução de macros em arquivos Office recebidos de fontes não confiáveis. Além disso, é crucial monitorar o tráfego de saída para serviços de nuvem como Google Drive e GitHub, buscando conexões incomuns.
A implementação de soluções de detecção de endpoint capazes de identificar carregamento de DLL na memória e injeção de processo é essencial. A análise de tráfego de rede deve incluir a inspeção de arquivos de imagem para detectar padrões de esteganografia, embora isso possa ser computacionalmente intensivo.
O que fazer agora
Organizações devem revisar suas políticas de segurança para bloquear o uso de ferramentas de compilação legítimas, como csc.exe, para execução de código não autorizado. A monitoração de tarefas agendadas e a verificação de conexões de rede para serviços de nuvem devem ser parte integrante do playbook de resposta a incidentes.