ESET revela variantes de backdoor SprySOCKS para Windows

O que precisas de saber (Resumo Rápido)

• Descobertas de novas variantes do backdoor SprySOCKS, agora para Windows, atribuídas ao grupo de ciberespionagem FishMonger.
• O uso de drivers do kernel do Windows permite uma ocultação eficaz das atividades maliciosas, dificultando a deteção.
• Possibilidade de ligar ataques a bootkits UEFI, explorando vulnerabilidades conhecidas.

Análise Detalhada

A ESET anunciou a descoberta de duas novas variantes do backdoor SprySOCKS especificamente para sistemas operativos Windows: designadas como **WIN_DRV** e **WIN_PLUS**. Até agora, o SprySOCKS era um malware amplamente conhecido no ecossistema Linux, mas estas novas versões demonstram a adaptação do grupo de ciberespionagem **FishMonger**, que se acredita estar associado à empresa chinesa I-SOON.

As primeiras amostras deste malware foram encontradas no VirusTotal em abril de 2024, embora a ESET indique que a ameaça esteja ativa desde 2023, com alvos principais em organizações governamentais das Honduras, Taiwan, Tailândia e Paquistão.

Uma das características mais preocupantes dessas variantes é o uso de drivers do kernel do Windows, que permitem ocultar diversas atividades maliciosas, como conexões de rede e processos em execução. Isto não apenas dificulta a deteção por software de segurança, mas também permite que o malware desvie o tráfego TCP, fazendo com que a comunicação entre os operadores e o backdoor ocorra através de portas aleatórias, sem expor a porta real utilizada.

A arquitetura das versões Windows mantém a sua essência, incluindo:

• Protocolo de comando e controlo (C&C);
• Mecanismos de encriptação;
• Lógica de processamento de comandos;
• Funcionalidades avançadas de controlo remoto.

Além disso, há indícios limitados de que alguns ataques possam envolver um **bootkit UEFI**, possivelmente explorando a vulnerabilidade CVE-2023-24932, aumentando a complexidade dos métodos utilizados pelo grupo.

O FishMonger, também conhecido por outros nomes como Earth Lusca ou Aquatic Panda, é parte do ecossistema Winnti Group, operando, segundo se acredita, a partir de Chengdu, na China. O grupo já foi analisado anteriormente pela ESET por campanhas direcionadas a universidades em Hong Kong durante os protestos de 2019. As suas táticas incluem ataques **watering-hole**, que comprometem websites legítimos visitados pelas suas vítimas.

O arsenal do grupo é diversificado e inclui ferramentas como **ShadowPad** e **Spyder**, com a variante WIN_DRV suportando mais de 30 comandos de C&C. Este malware comunica-se via protocolos TCP, UDP e WebSocket, permitindo que os invasores realizem operações complexas nos sistemas comprometidos.

Esta descoberta sublinha a evolução constante dos cibercriminosos, mostrando uma adaptação eficaz às novas plataformas e reforçando a necessidade de monitorização constante.

Vale a pena o investimento?

Para utilizadores de Windows, a instalação de ferramentas de segurança atualizadas e a prática de monitorização cuidadosa são indispensáveis para contra-atacar ameaças como o SprySOCKS. É recomendado atualizar sempre seu software de segurança, dada a natureza em evolução desse tipo de malware.

Veredito HotNews

A nova variante do SprySOCKS para Windows representa uma ameaça significativa, exigindo atenção e medidas preventivas robustas por parte das organizações visadas.

🔧 Gostaste desta análise?

Mantemos o HotNews Tech online graças a leitores como tu. Se estás a pensar comprar algum gadget, ferramentas ou peças, usa o nosso link.

Não pagas nem mais um cêntimo e ajudas-nos a criar mais conteúdo!

🛒 Comprar com o Link do Técnico