Os especialistas identificaram um backdoor utilizado para ataques de espionagem direcionados na Líbia, capazes de executar exfiltração de arquivos, gravação de telas, registo de teclado e roubo de informações do navegador
No primeiro trimestre de 2023, a região da África registrou o maior número médio de ciberataques, com uma a cada 15 organizações sendo atacada em média 1.983 vezes por semana. Agora, os pesquisadores da Check Point Research (CPR) identificaram uma operação em andamento contra alvos no norte de África envolvendo um backdoor de vários estágios anteriormente não revelado chamado “Stealth Soldier”.
Os ataques de Comando e Controle (C&C) fazem parte de um conjunto maior de infraestrutura que é usado para campanhas de spear-phishing contra órgãos governamentais. Com base no que os pesquisadores observaram nos temas do site de phishing e nos envios do VirusTotal, a nova campanha parece ter como alvo organizações da Líbia.
Ataques por região de janeiro a março de 2023: África em primeiro; América Latina em terceiro (fonte: CPR).
O “Stealth Soldier” é um implante personalizado, provavelmente usado em um conjunto limitado de ataques direcionados. O implante permite operações de vigilância e oferece suporte a funcionalidades como registro de pressionamento de teclas, capturas de tela e gravações de microfone. As diferentes versões encontradas sugerem que o “Stealth Soldier” é mantido ativo desde janeiro de 2023.
Semelhança com ataques governamentais passados
Segundo a CPR, as análises técnicas das diferentes versões do “Stealth Soldier” mostram semelhanças entre esta operação e outra denominada “Eye on the Nile”. A “Eye on the Nile” foi uma campanha de ataque anterior visando a região, que a Anistia Internacional e a Check Point Research vincularam a órgãos apoiados por governos quatro anos atrás.
O relatório de 2019 da Anistia Internacional descreve como organizações civis egípcias e indivíduos foram alvo de sofisticados ataques de phishing usando aplicativos de terceiros, como Google e Yahoo, para roubar informações confidenciais e monitorar suas atividades. Em um relatório de acompanhamento do “Eye on the Nile”, a CPR descobriu os antecedentes dessa operação, rastreou sua origem e a conectou a um backdoor Android focado em vigilância. Ao longo da análise das campanhas do “Stealth Soldier”, a CPR foi capaz de identificar várias sobreposições de infraestrutura com as do “Eye on the Nile”.
A nova investigação da CPR começou depois que os pesquisadores encontraram vários arquivos enviados ao VirusTotal da Líbia entre os meses de novembro de 2022 a janeiro de 2023. Os nomes dos arquivos estavam em árabe. A análise dos arquivos revela que todos eles são downloaders de diferentes versões do mesmo malware, chamado internamente de “Stealth Soldier”.
Participe das comunidades IPNews no Instagram, Facebook, LinkedIn e Twitter.
