Ir para o conteúdo principal

O Grupo LuckyMouse é conhecido pelos ataques cibernéticos altamente direcionados a grandes entidades de todo o mundo. A atividade do grupo representa perigo para regiões inteiras, incluindo o sudeste e o centro da Ásia, pois seus ataques parecem ter uma pauta política. A julgar pelos perfis das vítimas e vetores de ataques utilizados anteriormente pelo grupo, os pesquisadores da Kaspersky Lab acham que o cavalo de Troia que detectaram pode ter sido usado para espionagem virtual patrocinada por nações-estado.

O cavalo de Troia descoberto pelos especialistas da Kaspersky Lab infectou computadores-alvo por meio de um driver desenvolvido pelos agentes da ameaça. Ele permitia que os invasores executassem todas as tarefas comuns, como execução de comandos, download e upload de arquivos e interceptação do tráfego de rede.

O driver acabou sendo o elemento mais interessante dessa campanha. Para torná-lo confiável, aparentemente o grupo roubou um certificado digital pertencente a um desenvolvedor de software relacionado à segurança de informações para usar na assinatura das amostras de malware. Isso foi feito para evitar a detecção por soluções de segurança, pois uma assinatura legítima faz o malware parecer um software legal.

Outro aspecto notável do driver é que, embora o LuckyMouse tenha capacidade de criar seu próprio software malicioso, o programa usado no ataque parece ser uma combinação de amostras de código disponíveis em repositórios públicos e malware personalizado. A simples adoção de um código de terceiros pronto para uso, em vez de criar um código original, poupa o tempo dos desenvolvedores e dificulta a atribuição.

“Quase sempre, quando surge uma nova campanha do LuckyMouse, ela está sincronizada com a realização de um evento político importante, e o cronograma do ataque costuma preceder reuniões de líderes mundiais. O agente não se preocupa muito com a atribuição; como agora estão implementando amostras de código de terceiros em seus programas, é rápido adicionar mais uma camada em seus droppers ou desenvolver uma modificação do malware e, ainda assim, não ser rastreados”, observa Denis Legezo, pesquisador de segurança da Kaspersky Lab.

A Kaspersky Lab já publicou um informe sobre o ataque do agente LuckyMouse a um data center federal para organizar uma campanha de waterholing em nível nacional.

Como se proteger:

  • Não confie automaticamente no código que é executado em seus sistemas. Certificados digitais não garantem a ausência de backdoors;
  • Use uma solução de segurança eficiente, equipada com tecnologias de detecção de comportamento malicioso capazes de identificar até ameaças anteriormente desconhecidas, como o Kaspersky Total Security multidispositivos;
  • Inscreva a equipe de segurança de sua organização em um serviço de relatórios de inteligência de ameaças de qualidade para obter acesso imediato a informações sobre as evoluções mais recentes em termos de táticas, técnicas e procedimentos de agentes de ameaças sofisticadas.

Leia a versão completa em Securelist.com.

Sobre a Kaspersky Lab

A Kaspersky Lab é uma empresa internacional de cibersegurança que tem mais de 20 anos de operações no mercado. A detalhada inteligência de ameaças e a especialização em segurança da Kaspersky Lab se transformam continuamente em soluções e serviços de segurança da próxima geração para proteger empresas, infraestruturas críticas, governos e consumidores finais do mundo inteiro. O abrangente portfólio de segurança da empresa inclui excelentes soluções de proteção de endpoints e muitas soluções e serviços de segurança especializada para combater ameaças digitais sofisticadas e em evolução. Mais de 400 milhões de usuários são protegidos pelas tecnologias da Kaspersky Lab, e ajudamos 270.000 clientes corporativos a proteger o que é mais importante para eles. Saiba mais em www.kaspersky.com.br.

O Grupo LuckyMouse está de volta, usando um certificado legítimo nas assinaturas de malware

A Equipe de Pesquisa e Análise Global (GReAT) da Kaspersky Lab descobriu várias infecções por um cavalo de Troia desconhecido que, provavelmente, está relacionado ao implacável agente de ameaças de idioma chinês, o Grupo LuckyMouse. A característica mais singular desse malware é seu driver específico, assinado usando um certificado digital legítimo emitido por uma empresa que desenvolve software relacionado à segurança de informações.
Kaspersky Logo