Ataques cibernéticos usam conflito entre Israel e Hamas para espalhar malware sofisticado

Uma nova campanha de ataques cibernéticos está usando o conflito entre Israel e Hamas para espalhar malware sofisticado. A campanha, que está sendo atribuída ao grupo ITG05, está direcionando organizações em pelo menos 13 países.

Os ataques usam documentos de isca que se parecem com notícias ou informações sobre o conflito. Os documentos geralmente contêm um link para um arquivo malicioso que, quando aberto, instala o malware Headlace.

O Headlace é um backdoor backdoor que permite aos atacantes controlar remotamente as máquinas infectadas. O malware pode ser usado para roubar dados, instalar outros malwares ou causar danos aos sistemas.

A IBM X-Force, que descobriu a campanha, alertou as organizações para estarem cientes dos ataques. A empresa recomenda que as organizações implementem medidas de segurança básicas, como o uso de antivírus atualizados e a educação dos funcionários sobre segurança cibernética.

O conflito entre Israel e Hamas é um dos mais recentes conflitos geopolíticos a serem explorados por grupos de hackers. Em dezembro de 2023, a IBM X-Force descobriu uma nova campanha de ataques cibernéticos que usa o conflito para espalhar malware sofisticado.

A campanha está sendo atribuída ao grupo ITG05, um grupo de hackers patrocinado pelo governo russo. O grupo é conhecido por realizar ataques cibernéticos contra organizações em todo o mundo.

Descrição dos Ataques:

Os ataques usam documentos de isca que se parecem com notícias ou informações sobre o conflito. Os documentos geralmente contêm um link para um arquivo malicioso que, quando aberto, instala o malware Headlace.

O Headlace é um backdoor backdoor que permite aos atacantes controlar remotamente as máquinas infectadas. O malware pode ser usado para roubar dados, instalar outros malwares ou causar danos aos sistemas.

A IBM X-Force observou que os atacantes estão usando uma variedade de técnicas para enviar os documentos de isca, incluindo:

• E-mail: Os atacantes estão enviando e-mails que parecem ser de fontes legítimas, como agências de notícias ou organizações humanitárias.
• Redes sociais: Os atacantes estão postando links para os documentos de isca em redes sociais, como Twitter e Facebook.
• Mensagens instantâneas: Os atacantes estão enviando mensagens instantâneas que contêm links para os documentos de isca.

Exemplo de atração 1: Carta-convite para a discussão de especialistas no Centro Razumkov

O primeiro documento de atração descoberto intitulado “Carta-convite para a discussão de especialistas no Centro Razumkov”, data do início de setembro de 2023 e foi  relatado pela primeira vez  pelo Google TAG. Aproveita um  documento publicamente disponível  carregado um dia antes da apresentação do evento legítimo organizado pelo Centro Razumkov em parceria com a Agência dos Estados Unidos para o Desenvolvimento Internacional (USAID) sob os auspícios do pacto USAID/ENGAGE. O convite apresenta as conclusões do artigo “Guerra de Atrito: Comparação de Potenciais e Avaliação de Perspectivas” sobre os resultados actuais do conflito na Ucrânia, potenciais de combate e abordagens políticas para evitar o impasse. A campanha é dirigida a alvos baseados na Roménia com base na geolocalização do download direcionado.

Notavelmente, esta isca estava contida em um arquivo .RAR explorando CVE-2023-38831. Se aberto com versões WinRAR anteriores a 6.23, o exploit faz com que o Headlace seja executado silenciosamente se um usuário tentar abrir o arquivo PDF benigno.

Exemplo de isca 2: SEDE-PV-2023-10-09-1_EN.docx

Carregado em meados de outubro de 2023, o documento de atração intitulado “SEDE-PV-2023-10-09-1_EN.docx” apresenta a ata disponível ao público da reunião de 9 de outubro de 2023 da Subcomissão de Segurança e Defesa do Parlamento Europeu. Incluída na agenda adoptada está a questão de “A situação de segurança após o ataque do Hamas contra Israel, troca de pontos de vista com a Missão de Polícia da UE para os Territórios Palestinianos (EUPOLCOPPS) e a Missão de Assistência Fronteiriça da UE em Rafah (EUBAM Rafah).”

Exemplo de isca 3: war.docx

Carregado no início de novembro de 2023, o documento intitulado “war.docx” apresenta uma cópia autêntica da versão avançada não editada, disponível publicamente, do “Relatório do Comitê Especial para Investigar as Práticas Israelenses que Afetam os Direitos Humanos do Povo Palestino e de Outros Árabes do Territórios Ocupados” apresentado na septuagésima oitava sessão da Assembleia Geral das Nações Unidas. O conteúdo apresenta questões políticas e contexto histórico relacionado ao Levante entre setembro de 2022 e setembro de 2023, antes dos  ataques surpresa de outubro de 2023.

Exemplo de isca 4: Roadmap.docx

Em meados de Novembro de 2023, um documento de 15 páginas intitulado “roteiro” foi carregado por vários utilizadores baseados no Azerbaijão apresentando o que parece ser a versão de marcação interna de um proposto “Roteiro para o desenvolvimento da cooperação entre a República da Bielorrússia e a República do Azerbaijão até 2025” associada à Comissão Mista Intergovernamental entre a República do Azerbaijão e a República da Bielorrússia sobre Cooperação Económica. O documento apresenta duas linhas para assinaturas de aprovação dos respectivos ministros de estado, seguidas de uma data preenchível pré-preenchida com o ano de 2023. O documento parece ser autêntico dados os metadados associados às modificações do usuário.

No início de dezembro de 2023, a X-Force descobriu uma isca ITG05 aproveitando o comunicado de imprensa autêntico de 5 de dezembro de 2023 publicado pelo Banco de Israel. O documento intitulado 2023-12-bois-position-on-accessing-capital-pr.docx detalha os “Principais pontos da posição do Banco de Israel apresentada ao Comitê de Economia do Knesset em relação a entidades não bancárias que acessam fontes de capital para expandir sua oferta de empréstimos Devido à guerra.

Exemplo de isca 6: IN11897.pdf

Cadeia de Infecção

O que se segue representa a análise detalhada da X-Force das múltiplas cadeias de infecção associadas às iscas acima, entregando, em última análise, o malware Headlace.

O diagrama acima é uma representação de alto nível do fluxo de infecção do Headlace. Um mergulho profundo nos diferentes componentes que afetam a entrega, incluindo o abuso de serviços de hospedagem comercial, malware em vários estágios, exploração e comando e controle, são explorados nas seções a seguir.

A X-Force observou um grande número de scripts de enumeração de navegadores direcionados especificamente aos seguintes países:

• Hungria
• Turquia
• Austrália
• Polônia
• Bélgica
• Ucrânia
• Alemanha
• Azerbaijão
• Arábia Saudita
• Cazaquistão
• Itália
• Letônia
• Romênia

Variantes posteriores dos scripts de enumeração e verificação são provavelmente implementadas no lado do servidor com um ID específico codificado, que é fornecido no primeiro URL de phishing e é necessário durante todos os estágios posteriores como um parâmetro de URL.

Impacto dos Ataques:

A IBM X-Force observou que os ataques estão direcionados a organizações em pelo menos 13 países, incluindo Israel, Estados Unidos, Reino Unido, França e Alemanha.

Os ataques já causaram danos a algumas organizações. Em um caso, os atacantes usaram o malware Headlace para roubar dados confidenciais de uma empresa de tecnologia.

Recomendações de Segurança:

O IDCiber recomenda que as organizações implementem medidas de segurança básicas para se proteger contra esses ataques, incluindo:

• Mantenha seu software antivírus atualizado.
• Seja cauteloso ao abrir documentos de isca.
• Não clique em links de fontes desconhecidas.
• Educar seus funcionários sobre segurança cibernética.

A X-Force recomenda que todos os indivíduos e entidades envolvidos ou informados na criação de políticas permaneçam em um estado elevado de segurança defensiva e:

• Fique por dentro das explorações recém-publicadas que provavelmente serão usadas pelos atores do APT.
• Procure processos gerados regularmente contendo “msedge –headless-new –disable-gpu”.
• Procure processos sem cabeça do MS Edge baixando arquivos .CSS.
• Monitore arquivos baixados contendo arquivos .CMD.
• Monitore o sequestro de DLL por meio de arquivos WindowsCodecs.dll modificados.
• Monitore nomes de arquivos contendo um número incomumente grande de espaços em branco consecutivos.
• Monitore o tráfego de rede em busca de uso incomum ou não autorizado de serviços comerciais.
• Monitore o uso suspeito de navegadores no modo headless.
• Instalar e configurar software de segurança de endpoint.
• Atualize as regras relevantes de monitoramento de segurança de rede.
• Eduque a equipe sobre as ameaças potenciais à organização.

Indicadores de Compromisso

MD5, SHA1, SHA256, caminho do arquivo, nome do arquivo, comando, chave do registro, valor do registro, tarefa agendada, nome do serviço.

A campanha de ataques cibernéticos que usa o conflito entre Israel e Hamas é um exemplo de como os hackers estão explorando eventos geopolíticos para espalhar malware. As organizações devem estar cientes desses ataques e tomar medidas para se proteger.