Grupo de ciberespionagem ataca empresa com clientes governamentais e militares

Grupo de ciberespionagem ataca empresa de proteção de dados com clientes governamentais e militares

O ataque, que a ESET atribui com elevada confiança ao grupo APT “Tick”, envolveu pelo menos três famílias de malware e comprometeu servidores de atualização interna e ferramentas de terceiros usados pela empresa.

A ESET descobriu um ataque que comprometeu clientes de uma empresa de prevenção da perda de dados na Ásia de Leste. Os agentes maliciosos implementaram pelo menos três famílias de malware e comprometeram os servidores de atualização interna e as ferramentas de terceiros utilizadas pela empresa afetada.

A ESET atribui o ataque com elevada confiança ao grupo APT “Tick”. Com base no perfil deste grupo, o objetivo do ataque foi muito provavelmente atividades de ciberespionagem. A carteira de clientes da empresa comprometida inclui entidades governamentais e militares, razão que a torna num alvo particularmente aliciante para grupos de ameaças à cibersegurança.

“Os atacantes comprometeram os servidores de atualização internos da empresa para implementar malware dentro da rede de programação de software, e instaladores fraudulentos de ferramentas legítimas de terceiros utilizadas pela empresa, o que acabou por resultar na execução de malware nos computadores dos seus clientes”, explicou o investigador da ESET Facundo Muñoz. “Durante o ataque, os agentes maliciosos implementaram um downloader até aqui não documentado, ao qual demos o nome de ShadowPy, bem como a backdoor Netboy (também conhecida como Invader) e o downloader Ghostdown,” concluiu.

O ataque inicial aconteceu em março de 2021, facto que a ESET notificou à empresa. Em 2022, a telemetria da ESET registou a execução de código malicioso nas redes de dois dos clientes da empresa comprometida. Uma vez que os instaladores fraudulentos foram transferidos através de software de apoio remoto, a ESET considera que a implementação aconteceu enquanto a empresa prestava apoio técnico.

O Tick (também conhecido como “Bronze Butler” ou “Redbaldknight”) é um grupo APT que se pensa estar ativo desde pelo menos 2006. O grupo visa principalmente países da Ásia-Pacífico. As suas operações de ciberespionagem focam-se no roubo de informação confidencial e propriedade intelectual. O Tick utiliza um conjunto exclusivo de ferramentas maliciosas personalizadas concebidas para o acesso persistente a sistemas comprometidos, reconhecimento, exfiltração de dados e download de ferramentas.