Pesquisadores da Trellix identificaram uma operação de espionagem cibernética conduzida pelo grupo Kimsuky (APT43), ligado à Coreia do Norte, que desde março tem mirado ao menos 19 embaixadas e ministérios de Relações Exteriores na Coreia do Sul.
A análise sugere possíveis conexões com a China, já que as atividades seguiam o horário de trabalho chinês e eram interrompidas durante feriados nacionais do país, mas não durante datas relevantes na Coreia do Norte ou do Sul. Isso levanta a hipótese de que os operadores atuem a partir do território chinês ou utilizem contratados locais.
Os atacantes se passaram por diplomatas e funcionários, enviando e-mails com anexos disfarçados de PDFs dentro de arquivos ZIP protegidos por senha. Ao abrir os arquivos, os sistemas eram infectados com o trojan de acesso remoto XenoRAT, de código aberto, capaz de controlar totalmente os dispositivos, capturar teclas, e acessar câmera e microfone.
Entre os e-mails falsos, havia convites para eventos do Dia da Independência dos EUA e comunicações simulando diplomatas europeus ou fóruns internacionais. Os documentos de isca estavam em diversos idiomas, como coreano, inglês, persa, árabe, francês e russo. O XenoRAT exfiltrava dados usando GitHub, Dropbox, Google Drive e serviços locais como o Daum.
Ativo desde 2012, o Kimsuky possui histórico de ataques a governos, centros de pesquisa, acadêmicos e meios de comunicação na Ásia, Europa, Rússia, Japão e Estados Unidos. Em 2023, o grupo foi alvo de sanções internacionais por coletar inteligência para apoiar a política externa de Pyongyang e ações de evasão de sanções. As descobertas reforçam que, embora a operação seja atribuída à Coreia do Norte, parte de sua infraestrutura pode estar vinculada à China.
O que o Brasil aprende com isto
O caso reforça a importância da segurança cibernética em instituições estratégicas. O Brasil, com presença diplomática crescente e setores críticos digitalizados, precisa investir em treinamento de pessoal, políticas de proteção de dados e monitoramento constante de ameaças internacionais. Simulações de ataques, protocolos de autenticação rigorosos e conscientização sobre phishing podem reduzir riscos de espionagem e vazamento de informações sensíveis, protegendo tanto a soberania nacional quanto a credibilidade do país em relações internacionais.
Ref: Hunt.io – XenoRAT Malware: Features and Mitigation Strategies - A análise aborda como o XenoRAT foi distribuído via arquivos Excel XLL e protegido com ConfuserEx, além de discutir estratégias de mitigação. Hunt
The Hacker News – Open-Source Xeno RAT Trojan Emerges as a Potent Threat on GitHub - Este artigo discute a disponibilidade do XenoRAT no GitHub e suas funcionalidades, como hVNC e proxy reverso SOCKS5. The Hacker News
Ações Mitigadoras
Treinamento e conscientização - Educar colaboradores para identificar e evitar e-mails de phishing, anexos suspeitos e links maliciosos. Alertar sobre mensagens que simulam diplomatas, convites ou documentos oficiais.
Controle de e-mails e anexos - Bloquear anexos suspeitos, como ZIPs protegidos por senha ou PDFs incomuns. Implementar filtragem avançada de e-mails para detectar arquivos maliciosos e links de phishing.
Atualização e patches - Manter sistemas operacionais, softwares e antivírus sempre atualizados e corrigir vulnerabilidades conhecidas que podem ser exploradas por RATs.
Antivírus e soluções EDR - Utilizar antivírus confiável com detecção de comportamento suspeito e Implementar soluções de EDR (Endpoint Detection and Response) para monitoramento contínuo de atividades anômalas.
Segmentação de rede - Isolar sistemas críticos em redes separadas e restringir privilégios de usuário, evitando que contas comuns tenham acesso irrestrito a dados sensíveis.
Monitoramento e análise de tráfego - Monitorar tráfego de rede em busca de comunicações suspeitas com servidores externos (GitHub, Dropbox, Google Drive, Daum). Implementar alertas para conexões não autorizadas ou anômalas.
Backup e recuperação - Manter backups regulares de arquivos e sistemas críticos, testar planos de recuperação para restaurar dados caso o malware se infiltre.
Desativar serviços desnecessários - Evitar que serviços de compartilhamento de arquivos ou acesso remoto estejam expostos sem necessidade e configurar firewall e políticas de acesso restrito.
