Hackers Usam Ferramenta da Microsoft para Invadir Infraestrutura de Petróleo e Gás

Pesquisadores descobriram uma campanha de malware furtiva que ataca sistemas de energia através da ofuscação de nuvem Microsoft ClickOnce e do poderoso backdoor conhecido como RunnerBeacon

A equipe de pesquisa da Trellix identificou um novo ciberataque chamado “OneClik”, que utiliza métodos sofisticados para infiltrar-se nos sistemas de segurança de empresas de energia e de óleo e gás.

Os invasores usam emails de phishing para realizar ataques que utilizam o aplicativo Microsoft ClickOnce para enganar os usuários a instalar softwares maliciosos por meio de uma falsa ferramenta de análise de hardware.

A vítima abre o link que dispara o download de uma ferramenta falsa antes que o ‘‘dfsvc.exe’’ a execute. O processo legítimo do Windows aceita malware oculto por meio de técnicas avançadas de programação.

Uma vez dentro, o malware instala uma porta dos fundos chamada “RunnerBeacon”, que se conecta silenciosamente a servidores controlados por hackers disfarçados de serviços de nuvem da Amazon, tornando quase impossível detectá-lo.

Os pesquisadores observam que o RunnerBeacon, escrito na linguagem de programação Go, é altamente avançado. De fato, ele pode executar comandos, roubar arquivos, assumir o controle do tráfego de rede e até mesmo se esconder de investigadores usando ferramentas anti-depuração e verificações de sistema.

As pesquisadoras relatam que o malware evolui em três versões, com cada uma delas melhorando sua capacidade de evitar a detecção, incluindo a verificação de se está sendo executado em um ambiente virtual seguro.

A infraestrutura do OneClik é projetada para se misturar ao tráfego legítimo na nuvem. Os serviços Amazon CloudFront e Lambda funcionam como ferramentas confiáveis da rede corporativa para ocultar as comunicações do malware.

Adicionalmente, a abordagem de “viver da terra” possibilita capacidades evasivas ao se integrar nas atividades digitais diárias, o que torna a detecção mais desafiadora.

Pesquisadores afirmam que não podem confirmar a identidade por trás do OneClik, no entanto, a operação cibernética demonstra uma estratégia sofisticada e prolongada que visa sistemas de infraestrutura crítica.