'Operação Jacana' revela backdoor personalizado do DinodasRAT

Uma nova ameaça de malware chamada “DinodasRAT” foi descoberta, após ser usada em uma campanha direcionada de espionagem cibernética contra uma entidade governamental na Guiana.

A campanha, que a ESET chama de “Operação Jacana” em homenagem às aves aquáticas nativas do país sul-americano, pode estar ligada a (sem nome) Ciberataques patrocinados pelo Estado chinês, observaram os pesquisadores.

A campanha começou com e-mails de spearphishing direcionados que faziam referência a assuntos públicos e políticos recentes da Guiana. Uma vez lá dentro, os invasores moviam-se lateralmente pela rede interna; DinodasRAT foi então usado para exfiltrar arquivos, manipular chaves de registro do Windows e executar comandos, de acordo com Análise de quinta-feira da ESET sobre a operação Jacana.

O malware recebeu esse nome com base no uso de “Din” no início de cada um dos identificadores de vítima que envia aos invasores, e na semelhança dessa string com o nome do diminutivo hobbit Dinodas Brandybuck de O Senhor dos Anéis. Talvez relacionado: DinodasRAT usa o algoritmo de criptografia Tiny para bloquear suas comunicações e atividades de exfiltração de olhares indiscretos.

O trabalho de um APT chinês?

A ESET atribui a campanha e o RAT personalizado a uma ameaça persistente avançada (APT) chinesa com confiança média, com base em particular no uso do ataque do Korplug RAT (também conhecido como PlugX) - uma ferramenta favorita de Grupos de ameaças cibernéticas alinhados à China, como o Mustang Panda.

O ataque pode ser uma retaliação aos recentes contratempos nas relações diplomáticas Guiana-China, de acordo com a ESET, como a prisão de três pessoas na Guiana em uma investigação de lavagem de dinheiro envolvendo empresas chinesas. Essas alegações foram contestadas pela embaixada chinesa local.

Curiosamente, uma isca mencionava um “fugitivo guianense no Vietnã” e veiculava malware de um domínio legítimo que terminava em gov.vn.

“Este domínio indica um site governamental vietnamita; portanto, acreditamos que os operadores conseguiram comprometer uma entidade governamental vietnamita e usar sua infraestrutura para hospedar amostras de malware”, disse o pesquisador da ESET Fernando Tavella no relatório – sugerindo novamente que a atividade é trabalho de um player mais sofisticado.