ESET descobre variantes para Windows do backdoor SprySOCKS

A ESET revelou a descoberta de duas novas variantes para Windows do SprySOCKS, um backdoor até agora conhecido apenas no ecossistema Linux.

Identificadas como WIN_DRV e WIN_PLUS, estas variantes são atribuídas ao grupo de ciberespionagem FishMonger, que os investigadores acreditam estar ligado à empresa chinesa I-SOON, alegadamente contratada pelo governo da China.

Segundo a empresa de cibersegurança, as primeiras amostras deste malware foram encontradas no VirusTotal em abril de 2024. No entanto, a telemetria da ESET indica que a ameaça esteve ativa entre 2023 e 2024, tendo como principais alvos organizações governamentais nas Honduras, Taiwan, Tailândia e Paquistão.

Backdoor usa driver do kernel para ocultar atividade

Uma das características mais preocupantes destas novas variantes é a utilização de um driver do kernel do Windows para aumentar a capacidade de ocultação do malware.

Este componente permite esconder ligações de rede, processos, ficheiros e chaves de registo, dificultando significativamente a deteção por soluções de segurança. Além disso, consegue desviar tráfego TCP, permitindo aos operadores comunicar com o backdoor através de uma porta TCP aleatória, sem expor a verdadeira porta utilizada pela ameaça.

De acordo com a ESET, a versão para Windows mantém grande parte da arquitetura da variante Linux, incluindo:

• Protocolo de comando e controlo (C&C);
• Mecanismos de encriptação;
• Lógica de processamento de comandos;
• Funcionalidades avançadas de controlo remoto.

Ao mesmo tempo, adapta-se ao Windows através da integração de drivers do kernel, tornando-se ainda mais discreta.

Possível ligação a bootkits UEFI

Martin Smolár, investigador da ESET responsável pela análise desta campanha, refere que existem também indícios limitados de que alguns ataques possam recorrer a um bootkit UEFI, possivelmente explorando a vulnerabilidade CVE-2023-24932.

A versão para Windows mantém a maior parte da arquitetura central da sua antecessora para Linux, incluindo o protocolo C&C, os mecanismos de encriptação e a lógica global de processamento de comandos, ao mesmo tempo que melhora a discrição do backdoor através da integração de controladores do kernel. Tendo em conta os indícios limitados de um possível envolvimento de um bootkit UEFI, recomendamos uma monitorização atenta das atividades do grupo.

FishMonger é um conhecido grupo de ciberespionagem

O FishMonger, também conhecido pelos nomes Earth Lusca, TAG-22, Aquatic Panda ou Red Dev 10, faz parte do ecossistema Winnti Group e acredita-se que opere a partir da cidade chinesa de Chengdu.

A ESET já tinha analisado este grupo em 2020, quando este conduziu campanhas direcionadas contra universidades de Hong Kong durante os protestos de 2019.

Entre as técnicas utilizadas pelo grupo destacam-se os ataques watering-hole, em que são comprometidos websites legítimos frequentemente visitados pelos alvos, permitindo a distribuição silenciosa de malware.

O arsenal do FishMonger inclui várias ferramentas conhecidas, como:

• ShadowPad;
• Spyder;
• Cobalt Strike;
• FunnySwitch;
• SprySOCKS;
• BIOPASS (RAT).

A variante WIN_DRV suporta mais de 30 comandos de comando e controlo (C&C) e comunica através dos protocolos TCP, UDP e WebSocket, permitindo aos atacantes recolher informação do sistema comprometido, listar processos, gerir serviços e executar operações sobre ficheiros, incluindo criação, eliminação e transferência.

Esta descoberta demonstra que o grupo continua a evoluir as suas ferramentas e a adaptar o seu arsenal ao Windows, reforçando as capacidades de persistência, ocultação e controlo remoto utilizadas nas suas campanhas de ciberespionagem.