Ciberespiões atualizam vírus para invadir órgãos públicos e driblar defesas do Windows

Especialistas da empresa de segurança digital Kaspersky identificaram uma versão atualizada do programa espião CoolClient, operado pelo grupo de cibercriminosos HoneyMyte , também conhecido como Mustang Panda.

A nova variante foi detectada em ataques contra redes de computadores no Paquistão, na Mongólia, em Mianmar e na Rússia, com foco comprovado em entidades governamentais.

A principal inovação do vírus é a inclusão de uma ferramenta avançada de camuflagem.

O recurso opera na camada mais profunda do Windows e consegue esconder arquivos, proteger programas em funcionamento e impedir que softwares de proteção , como o Microsoft Defender e outros antivírus do mercado, identifiquem a invasão da máquina.

Em relatório publicado na sexta-feira (14), a Kaspersky destacou a sofisticação da tática adotada pelos invasores.

“Nossa análise confirma que o malware investigado é uma nova variante do CoolClient associada ao grupo de ameaças HoneyMyte .

Embora o fluxo geral de execução permaneça consistente com variantes documentadas anteriormente, esta amostra introduz um driver em modo kernel nunca documentado antes, que expande significativamente as capacidades de ocultação do malware”, declarou a empresa.

CoolClient O CoolClient funciona como uma passagem secreta no computador.

O recurso permite que os invasores monitorem o que a vítima digita, copiem textos transferidos, roubem senhas e controlem arquivos à distância.

Nos casos analisados, os criminosos utilizaram um primeiro vírus chamado PlugX para preparar o terreno e criaram pastas disfarçadas com o nome do antivírus oficial da Microsoft para não despertar desconfiança.

Para garantir que o módulo oculto fosse aceito pelo computador sem alertas de segurança, o grupo utilizou uma credencial digital antiga emitida para uma empresa de tecnologia da China.

Essa permissão autoriza o programa a rodar com privilégios máximos no sistema, o que permite aos invasores bloquear tentativas de exclusão de arquivos e mascarar na rede os endereços dos servidores para onde as informações roubadas são enviadas.

Visão geral da nova variante do CoolClient (Reprodução/Securelist) Em conclusões técnicas, os pesquisadores da Kaspersky alertaram para o aumento da complexidade desse tipo de ataque.

“A adição de um driver ao CoolClient sugere que o grupo continua a expandir o uso de recursos para melhorar a furtividade, a persistência e a evasão de defesas durante as operações após a invasão”.