Um grupo de ameaças patrocinado por estado, Sandworm (também rastreado como APT-C-13 e FROZENBARENTS), lançou uma campanha de ciberataque direcionada usando uma técnica combinada de túnel SSH e Tor para manter acesso oculto de longo prazo dentro de redes de vítimas. Esta campanha marca uma atualização clara das táticas de intrusão anteriores do grupo, mudando de callbacks de malware simples para um sistema de controle remoto totalmente anônimo e criptografado capaz de operar silenciosamente atrás de firewalls corporativos.
Perfil do grupo e histórico
O grupo tem sido ativo desde pelo menos 2014, direcionando principalmente agências governamentais, departamentos diplomáticos, empresas de energia e organizações de pesquisa para roubar inteligência política, militar e tecnológica. Nesta campanha mais recente, os atacantes refinaram seus métodos implantando túneis anônimos de camada dupla projetados para se misturar ao tráfego de rede normal.
A infecção começa com um e-mail de spear-phishing carregando um arquivo ZIP que, uma vez aberto, instala silenciosamente ferramentas maliciosas enquanto mostra um documento legítimo para manter a vítima desatenta. Pesquisadores do 360 Advanced Threat Research Institute identificaram múltiplas amostras maliciosas ligadas a esta campanha, notando que o grupo usou túneis SSH e Tor aninhados para construir um canal anônimo duplamente criptografado entre o atacante e o host comprometido.
Arquitetura do ataque e persistência
Esta arquitetura deu aos atacantes acesso irrestrito aos sistemas da vítima, permitindo que eles extraiam dados sensíveis sem acionar ferramentas de inspeção de tráfego padrão ou levantar alertas de sistemas de monitoramento de rede. As amostras de ataque foram entregues dentro de um arquivo ZIP nomeado Iskhod_7582_Predstavlenie_na_naznachenie.zip com um hash MD5 de 2156c270ffe8e4b23b67efed191b9737.
Dentro deste arquivo, o grupo escondeu um atalho LNK malicioso disfarçado como um documento PDF junto com uma pasta falsa chamada $RECYCLE.BIN definida para imitar o diretório Lixeira do Windows. Uma vez que a vítima clicou no arquivo LNK, a ferramenta de ataque completa foi implantada silenciosamente em segundo plano enquanto o PDF real abria para manter o usuário distraído da instalação.
Técnicas de evasão avançadas
Uma vez que a ferramenta estava instalada, os atacantes ganharam controle persistente sobre a rede interna da vítima, com capacidade de mover lateralmente, acessar arquivos sensíveis e operar o desktop remoto. Portas locais críticas, incluindo porta SMB 445 e porta RDP 3389, foram mapeadas para um endereço Onion da dark web, permitindo que o atacante se conectasse de qualquer lugar do mundo através da rede Tor, ignorando todas as proteções de firewall de entrada.
A parte mais tecnicamente notável desta campanha é como o Sandworm incorporou acesso de longo prazo dentro dos sistemas da vítima usando ferramentas disfarçadas como aplicativos bem conhecidos. Após o arquivo LNK acionar o script de controle principal currentSessionTrigger, o script primeiro verificou se estava executando em uma máquina real verificando pelo menos 10 arquivos .lnk recentes e 50 ou mais processos ativos.
Executáveis disfarçados e tarefas agendadas
Se o ambiente passasse nessas verificações, o script registrou duas tarefas agendadas nomeadas OperagxRepairTask e DropboxRepairTask, ambas ocultas da visualização padrão do Agendador de Tarefas, garantindo que payloads maliciosos fossem lançados automaticamente em cada login do usuário. Essas tarefas lançaram dois executáveis disfarçados: operagx.exe, que era na verdade um daemon OpenSSH, e dropbox.exe, que era um servidor Tor.
Um terceiro arquivo, safari.exe, atuou como um plugin de ofuscação de tráfego obfs4, remodelando todo o tráfego Tor em fluxos TCP aleatórios para ignorar firewalls corporativos e sistemas de inspeção profunda de pacotes. Um quarto arquivo, obsstudio.exe, serviu como um servidor SFTP para transferências de arquivos silenciosas. O daemon SSH foi configurado para ouvir apenas na porta de loopback local 20321, mantendo-o invisível a varreduras de rede externas.
Recomendações de defesa
Organizações devem auditar regularmente tarefas agendadas para entradas que impersonam aplicativos confiáveis como navegadores ou programas de armazenamento em nuvem. Equipes de segurança devem configurar firewalls para detectar e bloquear tráfego relacionado a Tor e obfs4 na periferia. Funcionários precisam de treinamento contínuo para evitar abrir anexos ZIP de remetentes desconhecidos, especialmente arquivos com atalhos LNK disfarçados como documentos.
Implantar ferramentas de detecção de endpoint que identifiquem processos de servidor SSH executando de diretórios AppData com configurações de porta não padrão é fortemente recomendado. A detecção proativa de conexões de saída para redes Tor e o monitoramento de tráfego de rede anômalo são essenciais para identificar a presença deste tipo de persistência oculta.
Perguntas frequentes
Qual o objetivo do Sandworm? Espionagem e sabotagem, com foco em infraestrutura crítica e dados governamentais. Como detectar o túnel SSH-over-Tor? Monitore tráfego de saída para portas não padrão e conexões para redes Tor. É necessário reimaging? Sim, se comprometimento confirmado, a remoção completa do malware e reimaging do sistema é recomendada.