0 
0 Pesquisadores descobriram uma estrutura de ataque cibernético potencialmente perigosa visando sistemas Windows, Linux e Mac que eles avaliam que provavelmente já está sendo usada na natureza.
A estrutura consiste em uma nova ferramenta autônoma de comando e controle (C2) apelidada de “Alchimist”, um Trojan de acesso remoto (RAT) nunca visto anteriormente chamado “Insekt” e várias ferramentas sob medida, como um backdoor personalizado e malware para explorando vulnerabilidades no macOS. Ele também inclui proxies reversos e várias ferramentas de uso duplo, como netcat, psexec e uma ferramenta de varredura de intranet chamada fscan.
“Alchimist é uma nova estrutura C2 que pode ser implantada e operada rapidamente com conhecimento técnico relativamente baixo por um agente de ameaças”, diz Nick Biasini, chefe de divulgação da Cisco Talos.
Uma alternativa de ataque de cobalto?
Pesquisadores da Cisco Talos que descobriram a estrutura de ataque descreveram o Alchimist como outro exemplo de agentes de ameaças tentando desenvolver alternativas para ferramentas populares de pós-exploração, como Cobalt Strike e, mais recentemente, Sliver .
“O surgimento de tais estruturas em estado selvagem sugere que os agentes de ameaças estão tentando ativamente desenvolver soluções alternativas para estruturas de ataque populares… cuja crescente popularidade levou a esforços de detecção rigorosos”, diz Biasini.
Em uma postagem no blog em 13 de outubro, Cisco Talos descreveu o Alchimist como um executável Linux de 64 bits escrito em GoLang com uma interface da Web escrita em chinês simplificado, o script oficial escrito para a China continental. O Insekt RAT, o implante primário do Alchimist, também está implementado no GoLang. O malware apresenta vários recursos acessíveis remotamente que permitem que ele seja personalizado por meio do servidor C2.
“[Alchimist] pode gerar uma carga útil configurada , estabelecer sessões remotas, implantar cargas úteis nas máquinas remotas, capturar capturas de tela, executar a execução remota de shellcode e executar comandos arbitrários”, observou o relatório. Fornecendo esses recursos, há uma variedade de ferramentas de malware, incluindo um backdoor Mach-0 para macOS e um dropper de malware macOS separado que explora uma vulnerabilidade conhecida em um programa raiz associado às principais distribuições do Linux ( CVE-2021-4034 ).
É importante notar que os implantes Insekt RAT que o Alchimist gera apresentam uma ampla gama de recursos que o tornam essencialmente um canivete suíço para os invasores no sistema infectado, diz Biasini.
Uma campanha utilizando a estrutura de ataque está ativa desde pelo menos janeiro.
“Embora o Talos não tenha informações sobre o alvo preciso pretendido nesta campanha, a intenção dos ataques é comprometer e estabelecer acesso de longo prazo aos ambientes das vítimas”, diz Biasini.
Estruturas autônomas
Cisco Talos comparou a estrutura Alchimist com outra estrutura de ataque que descobriu recentemente, apelidada de Manjusaka. Em um relatório em agosto, a empresa descreveu Manjusaka como um irmão chinês de Cobalt Strike e Sliver que um ator de ameaças estava usando ativamente em uma campanha envolvendo documentos de isca com tema COVID-19 e China.
Tanto o Alchimist quanto o Manjusaka são estruturas C2 independentes, baseadas em arquivo único, com filosofias de design semelhantes, mas implementações diferentes. Ambos vêm prontos para uso sem necessidade de instalação, e ambos podem corrigir e gerar implantes como o Insekt RAT em tempo real, disse Cisco Talos.
Um recurso do novo C2 que a empresa destacou como notável é sua capacidade de gerar trechos de código PowerShell e wget para Windows e Linux.
Os snippets dão aos agentes de ameaças a capacidade de criar um vetor de infecção para o Insekt RAT sem ter que criar código personalizado ou utilizar ferramentas adicionais, diz Biasini. Os invasores podem simplesmente adicionar o código do PowerShell/wget a um vetor de entrega, como a macro VBA de um documento malicioso ou a um arquivo de atalho malicioso e depois distribuí-lo às vítimas para infecção.
“Esta oferta pode ser uma tentativa dos autores de fornecer recursos de bônus na estrutura C2 e torná-la mais atraente para os agentes de ameaças”, observa ele.
FONTE: DARK READING