APT Gamaredon Group oferece serviços a outras APTs

Descrição

 

O Gamaredon APT tem estado activo desde pelo menos 2013, estando associado a actividades pró-russo, embora este grupo vise vítimas em todo o mundo para fins de espionagem.

 

Apesar de ter sido exposta várias vezes no passado, a Gamaredon continuou as suas operações sem obstáculos, sendo capaz de recolher informações sobre alvos e partilhá-las com outras unidades, provavelmente grupos de ameaça mais avançados.

 

Gamaredon controla mais de 600 domínios que são utilizados como servidores de Command and Control (C&C), que é uma grande infra-estrutura e tem estado activa durante muito tempo.

 

Gamaredon tem um cuidado especial em não infectar vítimas específicas nas suas campanhas. Gamaredon tem uma black list de endereços IP cujos dispositivos não serão infectados, com aproximadamente 1.700 endereços de 43 países diferentes.

 

Devido a toda esta informação, Gamaredon é considerado um APT de segundo nível, prestando serviços a outros actores de ameaça e sem a sofisticação de actores de primeiro nível.

 

Detalhes técnicos

 

Este actor utiliza técnicas de pesca submarina contra as suas vítimas. Por exemplo, uma das suas campanhas enviou em anexo um documento Word com o nome "НУЖНА ПОМОЩЬ.doc" que traduzido para "Preciso de ajuda", que está escrito em russo, alegando que um familiar foi preso sob acusação de terrorismo.

 

Gamaredon utiliza a injecção de modelos em documentos Word como um vector de ataque inicial, por isso, se o utilizador abrir um modelo deste tipo, o ficheiro será carregado a partir do servidor C&C.

 

Este ficheiro malicioso contém uma macro VisualBasic embutida que descodificará várias cordas base64, gerando um script VisualBasic que é depois executado como a primeira fase do malware.

 

Em seguida, verifica se a segunda fase está a decorrer e, em caso afirmativo, encerra todos os processos relacionados com a segunda fase.

 

O primeiro pedido contém pormenores sobre o anfitrião da vítima. Se este primeiro pedido falhar, o malware vai pingar o servidor C&C e fazer um segundo pedido. Finalmente, o guião realizará um sono aleatório entre 95 e 154 segundos antes de contactar novamente o servidor C&C da primeira fase, que responderá com um novo binário da segunda fase ou zero bytes.

 

Mesmo que a vítima tenha detectado a infecção na segunda fase, muitas informações já foram roubadas durante a fase de reconhecimento.

 

As campanhas relacionadas com Gamaredon que evitaram infectar certos endereços IP foram detectadas a partir de 2018, mas ainda hoje estão activas porque fazem uso de domínios dinâmicos.

 

Técnicas usadas

 

Initial access

 

Phishing: Spearphishing Attachment T1566.001

 

Execution

 

• Command and Scripting Interpreter: Visual Basic T1059.005
• Command and Scripting Interpreter: Windows Command Shell T1059.003
• Inter-Process Communication: Component Object Model T1559.001
• Scheduled Task/Job: Scheduled Task T1053.005
• User Execution: Malicious File T1204.002

 

Persistence

 

• Boot or Logon Autostart Execution: Registry Run Keys / Startup Folder T1547.001
• Office Application Startup T1137
• Scheduled Task/Job: Scheduled Task T1053.005

 

Privilege escalation

 

• Boot or Logon Autostart Execution: Registry Run Keys / Startup Folder T1547.001
• Scheduled Task/Job: Scheduled Task T1053.005

 

Defense evation

 

• Modify Registry T1112
• Obfuscated Files or Information: Binary Padding T1027.001
• Obfuscated Files or Information: Compile After Delivery T1027.004
• Signed Binary Proxy Execution: Rundll32 T1218.011
• Template Injection T1221
• Deobfuscate/Decode Files or Information T1140
• Impair Defenses: Disable or Modify Tools T1562.001
• Indicator Removal on Host: File Deletion T1070.004

 

Discovery

 

• File and Directory Discovery T1083
• Peripheral Device Discovery T1120
• System Information Discovery T1082
• System Owner/User Discovery T1033

 

Lateral movement

 

• Internal Spearphishing T1534
• Taint Shared Content T1080

 

Collection

 

• Automated Collection T1119
• Data from Local System T1005
• Data from Network Shared Drive T1039
• Data from Removable Media T1025
• Screen Capture T1113

 

Command and control

 

• Application Layer Protocol: Web Protocols T1071.001
• Ingress Tool Transfer T1105

 

 

Recomendações