0 
0 O grupo de ameaças persistentes avançadas (APT) RedAlpha, que se acredita estar ligado ao estado chinês, tem espionado organizações humanitárias, think tanks e governamentais globais graças a uma enorme campanha de phishing que está ativa há anos.
Essa é a palavra do Insikt Group, da Recorded Future, que também descobriu que a coleta de inteligência provavelmente é usada para apoiar abusos de direitos humanos orquestrados pelo Partido Comunista Chinês (PCC).
O RedAlpha (também conhecido como Deepcliff ou Red Dev 3) é especializado em coleta de credenciais em massa, o que é realizado por meio de e-mails de phishing convincentes com PDFs anexados que levam a supostas páginas de login. O grupo está operando em “alto ritmo” desde pelo menos 2015, observam os pesquisadores do Insikt, embora não tenha despertado o aviso dos pesquisadores de segurança até 2018. E desde 2019, a atividade aumentou ainda mais, dizem os analistas.
“Nos últimos três anos, observamos o RedAlpha registrando e armando centenas de domínios falsificando organizações como a Federação Internacional de Direitos Humanos (FIDH), Anistia Internacional, o Instituto Mercator para Estudos da China (MERICS), Radio Free Asia (RFA) , o Instituto Americano em Taiwan (AIT) e outras… organizações”, de acordo com uma postagem no blog na terça-feira do Insikt.
No ano passado, o RedAlpha conseguiu pelo menos 350 domínios no total, representando um grande aumento em sua atividade, disseram analistas. Em muitos casos, as páginas de phishing observadas imitavam portais de login de e-mail legítimos para esses alvos específicos, sugerindo que os invasores pretendiam atingir indivíduos diretamente afiliados às organizações, em vez de usar a marca das entidades para atingir outros terceiros.
Em particular, a APT foi observada visando diretamente minorias étnicas e religiosas, como as comunidades tibetana e uigur e manifestantes como membros do Falun Gong, e tem se interessado particularmente em qualquer coisa relacionada a Taiwan. Em suma, as metas estão estreitamente alinhadas com os interesses chineses. Assim, a ideia é obter acesso a contas de e-mail e outras comunicações online das vítimas, a fim de espionar e reunir informações políticas sobre os alvos, supõem os pesquisadores.
Casey Ellis, fundador e CTO da Bugcrowd, diz que a informação coletada pode ser armada não apenas para orientar ataques físicos ou cinéticos contra as pessoas de interesse, mas também para contra-mensagens destinadas a minar suas atividades.
“A China tem uma enorme população de tecnólogos muito astutos, uma vasta comunidade de pesquisa de segurança e hackers e uma grande equipe patrocinada pelo governo com capacidade ofensiva que varia de guerra de informação a desenvolvimento de exploração direcionada e P&D”, diz ele. “Dados roubados para espionagem de estado-nação não são, por exemplo, susceptíveis de serem usados para fraude se o agente da ameaça for chinês. A principal ameaça, como é verdade para a maioria dos agentes de ameaça de estado-nação, é des/desinformação, memes armados , e propaganda subversiva através de redes sociais e mídia tradicional.”
A falsificação também inclui a representação de provedores de serviços de e-mail conhecidos em um esforço para parecer legítimo, incluindo Yahoo (135 domínios typosquatted), Google (91 domínios typosquatted) e Microsoft (70 domínios typosquatted).
“Grupos patrocinados pelo Estado chinês continuam a atacar agressivamente grupos e indivíduos dissidentes e minoritários, tanto internamente por meio de vigilância estatal quanto internacionalmente por meio de atividade de intrusão cibernética”, observam os pesquisadores. “Essa segmentação de comunidades sensíveis e vulneráveis, muitas das quais com orçamento de segurança e restrições de recursos, é particularmente preocupante.
Infraestrutura de phishing em expansão
De acordo com a análise do Insikt , o grupo mantém grandes clusters de infraestrutura operacional, além das centenas de domínios de phishing que imitam e falsificam organizações específicas.
Os pesquisadores dizem que outras características consistentes dos esforços do grupo incluem o uso de servidores de nomes *resellerclub[.]com; usando o provedor de hospedagem de servidor virtual privado (VPS) Virtual Machine Solutions (VirMach); convenções de nomenclatura de domínio semelhantes, como o uso de strings “mydrive-”, “accounts-”, “mail-”, “drive-” e “files-” em centenas de domínios; sobreposição de nomes de registrantes WHOIS, endereços de e-mail, números de telefone e organizações; e o uso de componentes específicos de tecnologia do lado do servidor e falsos erros HTTP 404 Not Found.
Phil Neray, vice-presidente de estratégia de defesa cibernética da CardinalOps, diz que esse tipo de grande pegada permite resultados significativos de espionagem, que é uma das marcas registradas dos APTs chineses.
“A China tem sido uma das principais ameaças do Estado-nação por muitos anos, devido ao uso estratégico da espionagem cibernética para obter experiência em tecnologias-chave, como biotecnologia, semicondutores, defesa e energia, roubando propriedade intelectual proprietária do Ocidente”, disse ele. diz. “Eles também têm como alvo PII em ataques contra organizações governamentais, como o Office of Personnel Management (OPM) e grandes organizações de seguro de saúde como Anthem, que foram duas das maiores violações de dados da história”.
Phishing é Phishing é Phishing
As táticas neste caso são testadas e verdadeiras, mesmo que os perpetradores ocupem o status de “primeiro nível” no panteão do crime cibernético.
“Quando se trata de phishing, os agentes de ameaças em todos os níveis geralmente confiam em táticas convencionais baseadas em estética para atrair suas vítimas”, disse Darren Guccione, CEO e cofundador da Keeper Security, ao Dark Reading. “Pessoas inocentes que não são treinadas em prevenção de phishing geralmente se concentram nas ‘riscas’ do e-mail. Isso significa que a estética com a qual estão familiarizados, como o logotipo e as cores de um site humanitário, de pesquisa ou do governo, são usados para atraí-los para um link malicioso ou campo de formulário.”
É importante, no entanto, não subestimar as consequências dessa abordagem familiar de engenharia social.
“As ameaças de segurança cibernética que acabam resultando em violações devido a senhas fracas, credenciais roubadas ou e-mails de phishing são generalizadas”, diz Guccione. “Eles podem ter consequências adversas devastadoras e de longo prazo, principalmente quando uma campanha de espionagem de amplo alcance é usada para apoiar abusos de direitos humanos”.
Qualquer organização deve aumentar a conscientização do usuário e empregar defesas básicas para evitar ser vítima de phishing, acrescenta Guccione.
“Nós tendemos a acreditar no que vemos, e é por isso que a estética e uma interface de usuário atraente geralmente superam a percepção de um URL nefasto e incorreto”, observa ele. “A chave para o treinamento é garantir que os usuários verifiquem se o URL corresponde ao site autêntico. Um gerenciador de senhas que pode identificar automaticamente quando o URL de um site não corresponde é uma ferramenta essencial para evitar os ataques mais comuns relacionados a senhas, incluindo phishing e preenchimento de credenciais.”
Neray, da CardinalOps, acrescenta que, quando se trata especificamente de alvos da sociedade civil, “Organizações de todos os tamanhos devem se proteger implantando monitoramento contínuo em todos os níveis de suas infraestruturas – endpoints, rede, nuvem, identidade – e garantindo que tenham políticas de detecção SOC em local que corresponda às mais recentes técnicas de adversários empregadas por invasores chineses, conforme documentado na estrutura MITRE ATT&CK.”
FONTE: DARK READING