Grupo de ciberespionagem Fancy Bear continua operacional
Os investigadores da ESET descobriram uma nova versão do Xagent, o principal malware do Fancy Bear, o que demosntra que grupo de ciberespionagem está e, muito provavelmente, manter-se-á ativo durante o próximo ano.
A empresa de segurança informática, tem-se comprometido a monitorizar a atividade do Fancy Bear, também conhecido por Sednit ou APT28, cujo o principal objetivo é roubar informação confidencial de alvos específicos de alto perfil.
Os alegados alvos durante os últimos anos incluem a rede televisiva francesa TV5Monde em abril de 2015, o parlamento alemão um mês depois e o Comité Nacional Democrático (DNC) americano em março de 2016.
O grupo usa dois principais métodos de ataque para transmitir o seu software malicioso, um anexo de email ou redirecionando para um website que contém um exploit kit personalizado como resultado de um email de phishing. O Xagent é uma das duas backdoors transmitidas através deste método e usadas para espionagem.
“O Xagent é uma backdoor extremamente bem desenvolvida e, ao longo dos últimos anos, tornou-se no principal malware de espionagem da Sednit,” disse, em comunicado, Alexis Dorais-Joncas, Líder da Equipa de Segurança na ESET.
“Com a sua capacidade de comunicar através de HTTP ou email, temos observado esta backdoor modular a ser usada extensivamente nas operações do grupo”, acrescenta.
Em 2017, a ESET descobriu a versão 4 do Xagent para Windows, que inclui novas técnicas de ofuscação que melhoram significativamente a maneira como as cadeias de caracteres são encriptadas.
“As técnicas acrescentadas à backdoor – encriptação e Algoritmo de Geração de Domínio (DGA) – dificultam a nossa vida. A primeira torna a inversão mais difícil, enquanto a segunda dificulta a aquisição de domínios uma vez que há mais domínios para adquirir ou apreender”, indicou o executivo
“Esta nova versão do Xagent é incrivelmente interessante e complexa. Podemos agora colocar a hipótese da Sednit ter adicionado outra camada para verificar os seus alvos com apenas alguns módulos do Xagent, e se a vítima for interessante o suficiente, então o grupo pode ativar outra versão com todos os módulos. Isto demonstra o quanto determinado está o grupo nos seus esforços para visar continuamente organizações e instituições de alto nível em todo o mundo”, concluiu Dorais-Joncas.
