0 
0 O grupo chinês APT MirrorFace tentou influenciar as eleições para a Câmara dos Representantes do Japão este ano, revelou uma investigação.
De acordo com pesquisadores do fornecedor europeu de segurança de TI ESET, o grupo usou ataques de spear phishing em membros individuais de um partido político. A equipe de pesquisa, que chama a campanha de Operação LiberalFace, descobriu que os e-mails fraudulentos continham o conhecido malware LodeInfo, um backdoor usado para espalhar malware ou roubar credenciais, documentos e e-mails de suas vítimas.
MirrorFace é um agente de ameaças em língua chinesa que tem como alvo empresas e organizações com sede no Japão. Ele lançou o ataque em 29 de junho de 2022, antes das eleições japonesas em julho.
Sob o pretexto de ser o departamento de relações públicas de um partido político japonês, o MirrorFace pediu aos destinatários dos e-mails que compartilhassem os vídeos anexados em seus próprios perfis de mídia social. Isso foi supostamente para fortalecer ainda mais a percepção do partido e garantir a vitória na Câmara dos Deputados.
A mensagem também contém instruções claras sobre a estratégia de publicação dos vídeos e foi supostamente enviada em nome de um político proeminente.
Anexos maliciosos
Todas as mensagens de spear phishing continham um anexo malicioso que, quando executado, acionava o programa de malware LodeInfo na máquina comprometida.
LodeInfo é um backdoor MirrorFace que está em desenvolvimento contínuo. Suas funções incluem captura de tela, keylogging, encerramento de processos, exfiltração de dados, execução de malware adicional e criptografia de determinados arquivos e pastas.
O LodeInfo sofisticado e em constante evolução já foi implantado contra alvos de mídia, diplomacia, governo, setor público e think tanks, de acordo com pesquisadores da Kaspersky, que acompanham a família de malware desde 2019.
Um ladrão de credenciais não documentado anteriormente, chamado MirrorStealer da ESET Research, também foi usado no ataque. É capaz de roubar credenciais de vários aplicativos, como navegadores e clientes de e-mail.
“Durante a investigação da Operação LiberalFace, conseguimos descobrir mais TTPs do MirrorFace, como a implantação e utilização de malware e ferramentas adicionais para coletar e exfiltrar dados valiosos das vítimas”, escreveu o pesquisador da ESET Dominik Breitenbacher. “Além disso, nossa investigação revelou que os operadores do MirrorFace são um tanto descuidados, deixando rastros e cometendo vários erros”.
Há especulações de que esse grupo de hackers pode estar conectado ao APT10, mas a ESET não conseguiu encontrar evidências claras disso ou de cooperação com outros grupos APT em sua análise e, portanto, busca o MirrorFace como uma entidade separada.
O grupo visa principalmente a mídia, fornecedores de defesa, think tanks, organizações diplomáticas e instituições acadêmicas, com o objetivo de espionar e exfiltrar arquivos de interesse.
Ciberataques patrocinados pelo Estado afiliados à China estão construindo ativamente uma grande rede de infraestrutura de ataque, comprometendo alvos nas esferas pública e privada, de acordo com um alerta conjunto da Agência de Segurança Cibernética e Infraestrutura (CISA) e da Agência de Segurança Nacional (NSA). , e o FBI.
O grupo patrocinado pelo estado RedAlpha APT, por exemplo, há anos tem como alvo organizações que trabalham em nome dos uigures, do Tibete e de Taiwan, procurando reunir informações que possam levar a abusos dos direitos humanos.
FONTE: DARK READING