ESET documenta eficiência de backdoor controlada por emails

A ESET, líder em investigação na área da cibersegurança, apresenta os resultados de um trabalho de fundo sobre as características da backdoor usada pelo grupo de ciberespionagem Turla (também conhecido como Snake, ou Uroboros) para desviar comunicações sensíveis de autoridades de pelo menos três países europeus. O grupo usa esta ferramenta única há já vários anos e os especialistas da ESET descobriram que o número de afetados é bastante maior do que se pensava anteriormente.

Entre as vítimas encontra-se o ministério dos negócios estrangeiros na Alemanha, que veio a público em março deste ano reconhecer a falha de segurança. O acesso não autorizado à sua rede pelo grupo deu-se precisamente um ano antes, já depois do Turla comprometer também a rede do colégio federal de administração pública daquele país.

A investigação da ESET determinou que, além do ministério alemão, o grupo fez-se valer da mesma backdoor para abrir um canal de acesso a outros departamentos exteriores em mais dois países europeus, bem como à rede de uma empresa na área da defesa. Estas organizações são as mais recentes vítimas do grupo Turla, que tem como alvo governos, oficiais de estado, diplomatas e autoridades militares desde pelo menos 2008.

De acordo com a ESET, a backdoor foi crescendo em funcionalidades ao longo dos anos, possuindo atualmente um nível raro de furtividade e resiliência. A versão mais recentemente descoberta, desde abril de 2018, inclui a capacidade de executar scripts PowerShell diretamente na memória do computador.

As mais recentes iterações da backdoor têm como alvo o Microsoft Outlook, subvertendo a Messaging Application Programming Interface (MAPI) do software para aceder às contas de email dos afetados. A backdoor é operada através de mensagens de email, mais especificamente através de ficheiros PDF anexados nos emails. Os sistemas comprometidos podem ser instruídos a levar a cabo uma série de comandos automaticamente, incluindo recolha de dados, download de ficheiros e execução de programas e comandos adicionais.

O malware esforça-se por conseguir penetrar o sistema de maneira secreta. Por exemplo, apesar de ser possível, durante alguns segundos, vislumbrar uma mensagem de email na contagem de emails não lidos, nenhum email pelo invasor é exibido na caixa de correio. Da mesma forma, o malware também bloqueia todas as notificações de mensagens de email recebidas enviadas pelos seus operadores.

Para mais informações, visite o artigo completo no WeLiveSecurity ou consulte o whitepaper com toda a investigação (em inglês).