Segurança da Informação

Pesquisadores da Trellix identificaram uma operação de espionagem cibernética conduzida pelo grupo Kimsuky (APT43), ligado à Coreia do Norte, que desde março tem mirado ao menos 19 embaixadas e ministérios de Relações Exteriores na Coreia do Sul.

A análise sugere possíveis conexões com a China, já que as atividades seguiam o horário de trabalho chinês e eram interrompidas durante feriados nacionais do país, mas não durante datas relevantes na Coreia do Norte ou do Sul. Isso levanta a hipótese de que os operadores atuem a partir do território chinês ou utilizem contratados locais.

Os atacantes se passaram por diplomatas e funcionários, enviando e-mails com anexos disfarçados de PDFs dentro de arquivos ZIP protegidos por senha. Ao abrir os arquivos, os sistemas eram infectados com o trojan de acesso remoto XenoRAT, de código aberto, capaz de controlar totalmente os dispositivos, capturar teclas, e acessar câmera e microfone.

Entre os e-mails falsos, havia convites para eventos do Dia da Independência dos EUA e comunicações simulando diplomatas europeus ou fóruns internacionais. Os documentos de isca estavam em diversos idiomas, como coreano, inglês, persa, árabe, francês e russo. O XenoRAT exfiltrava dados usando GitHub, Dropbox, Google Drive e serviços locais como o Daum.

Ativo desde 2012, o Kimsuky possui histórico de ataques a governos, centros de pesquisa, acadêmicos e meios de comunicação na Ásia, Europa, Rússia, Japão e Estados Unidos. Em 2023, o grupo foi alvo de sanções internacionais por coletar inteligência para apoiar a política externa de Pyongyang e ações de evasão de sanções. As descobertas reforçam que, embora a operação seja atribuída à Coreia do Norte, parte de sua infraestrutura pode estar vinculada à China.

O que o Brasil aprende com isto

O caso reforça a importância da segurança cibernética em instituições estratégicas. O Brasil, com presença diplomática crescente e setores críticos digitalizados, precisa investir em treinamento de pessoal, políticas de proteção de dados e monitoramento constante de ameaças internacionais. Simulações de ataques, protocolos de autenticação rigorosos e conscientização sobre phishing podem reduzir riscos de espionagem e vazamento de informações sensíveis, protegendo tanto a soberania nacional quanto a credibilidade do país em relações internacionais.

Ref: Hunt.io – XenoRAT Malware: Features and Mitigation Strategies - A análise aborda como o XenoRAT foi distribuído via arquivos Excel XLL e protegido com ConfuserEx, além de discutir estratégias de mitigação. Hunt

The Hacker News – Open-Source Xeno RAT Trojan Emerges as a Potent Threat on GitHub - Este artigo discute a disponibilidade do XenoRAT no GitHub e suas funcionalidades, como hVNC e proxy reverso SOCKS5. The Hacker News

Ações Mitigadoras

Treinamento e conscientização - Educar colaboradores para identificar e evitar e-mails de phishing, anexos suspeitos e links maliciosos. Alertar sobre mensagens que simulam diplomatas, convites ou documentos oficiais.

Controle de e-mails e anexos - Bloquear anexos suspeitos, como ZIPs protegidos por senha ou PDFs incomuns. Implementar filtragem avançada de e-mails para detectar arquivos maliciosos e links de phishing.

Atualização e patches - Manter sistemas operacionais, softwares e antivírus sempre atualizados e corrigir vulnerabilidades conhecidas que podem ser exploradas por RATs.

Antivírus e soluções EDR - Utilizar antivírus confiável com detecção de comportamento suspeito e Implementar soluções de EDR (Endpoint Detection and Response) para monitoramento contínuo de atividades anômalas.

Segmentação de rede - Isolar sistemas críticos em redes separadas e restringir privilégios de usuário, evitando que contas comuns tenham acesso irrestrito a dados sensíveis.

Monitoramento e análise de tráfego - Monitorar tráfego de rede em busca de comunicações suspeitas com servidores externos (GitHub, Dropbox, Google Drive, Daum). Implementar alertas para conexões não autorizadas ou anômalas.

Backup e recuperação - Manter backups regulares de arquivos e sistemas críticos, testar planos de recuperação para restaurar dados caso o malware se infiltre.

Desativar serviços desnecessários - Evitar que serviços de compartilhamento de arquivos ou acesso remoto estejam expostos sem necessidade e configurar firewall e políticas de acesso restrito.

Tradicionalmente, o ransomware exigia a infecção direta do sistema de arquivos de um computador — seja via phishing, malwares embutidos em documentos, ou falhas em RDP.

A notícia CISO Advisor baseada em um estudo da SquareX, alerta para uma evolução no vetor de ataque agora os navegadores e serviços em nuvem/SaaS tornaram-se os novos alvos, refletindo a transformação digital e o modelo de trabalho híbrido/cloud-first.

Esses ataques não dependem da execução local de arquivos, o que contorna antivírus, EDRs, firewalls e outras defesas baseadas em host, tornando-os invisíveis para a maioria das soluções tradicionais de segurança.

A notícia aponta três principais métodos usados por invasores. Ataque indireto, onde um aplicativo malicioso solicita permissões legítimas para acessar contas em Google Drive, OneDrive, etc. Ao obter autorização, o atacante não precisa da senha da vítima, apenas do consentimento — e pode apagar, copiar ou publicar arquivos confidenciais, isso transforma a vítima em cúmplice inconsciente do ataque. Uso de IA para mapear serviços SaaS utilizados por uma organização, permitindo ataques personalizados.

O phishing de consentimento é mais difícil de detectar, pois não imita login, mas simula um fluxo de autorização legítimo., as extensões, uma vez instaladas, podem abusar das permissões do navegador para acessar cookies, tokens, senhas salvas e histórico de navegação.

Se o navegador estiver sincronizado com outras máquinas, a infecção pode se propagar lateralmente, mesmo em ambientes corporativos com segmentação. A ameaça descrita impõe desafios estruturais para a cibersegurança moderna, ferramentas de endpoint tradicionais (AV/EDR) não operam dentro do escopo do navegador/SaaS. Modelos de Zero Trust precisam ser reforçados, principalmente no que diz respeito ao consentimento de aplicações e gestão de identidade, a segurança deve migrar do endpoint para a camada de identidade, comportamento e autorização.

A própria notícia (CISO Advisor) sugere contramedidas, que são coerentes com boas práticas modernas, como revisão contínua de aplicações conectadas via OAuth, controle e auditoria de extensões de navegador, adoção de autenticação multifator (MFA) em todas as plataformas críticas, implementação de CASB (Cloud Access Security Broker) e SSPM (SaaS Security Posture Management) para governança de apps cloud e treinamento sobre phishing de consentimento, que requer conscientização além do phishing tradicional.

Embora não haja, segundo o texto, ataques massivos documentados até o momento, o cenário apresentado é altamente plausível, especialmente devido ao aumento do uso de SaaS e BYOD (Bring Your Own Device). O baixo custo e alta escalabilidade desse tipo de ataque o tornam altamente atrativo para grupos de ransomware como serviço (RaaS). A superfície de ataque invisível para defesas convencionais aumenta o risco de impactos severos sem detecção precoce.

Finalmente o texto descreve de forma clara uma tendência emergente e disruptiva no ecossistema de ameaças cibernéticas. O uso do navegador como vetor de ransomware marca uma mudança profunda no modelo de ataque e exige que empresas repensem sua arquitetura de segurança, migrando de defesas baseadas em infraestrutura para defesas baseadas em identidade, autorização e comportamento.

O que as empresas precisam implementar ou ajustar (complementando). Impedimento do sequestro via OAuth / Consent Phishing, alicativos maliciosos solicitando permissões para Google Drive, OneDrive, etc. O exercício de revisão periódica das aplicações conectadas (OAuth) em contas corporativas e revogar acessos não autorizados. Restringir uso de contas pessoais em ambientes corporativos (Google, Microsoft). Usar CASB (Cloud Access Security Broker) para monitorar e bloquear apps não aprovados. Impor políticas de autorização baseada em escopo mínimo (least privilege). Sem dúvidas a educação contínua sobre phishing de consentimento, que simula mensagens de autorização legítimas.

O pishing personalizado usando IA e uma realidade para capturar credenciais e mapear ferramentas SaaS utilizadas.

Ativar a autenticação multifator (MFA) em todas as plataformas SaaS. Execução programa de treinamento avançado de segurança para identificar phishing “sofisticado” (e-mails que imitam fluxos de autorização reais). Implementar proteção contra e-mails maliciosos com IA/ML, como serviços baseados em comportamento e reputação e monitoramento de anomalias em login e atividades em SaaS com ferramentas de SIEM ou SSPM (SaaS Security Posture Management). As extensões maliciosas acessando senhas, histórico e sincronizações, política restritiva de instalação de extensões no navegador (whitelist via GPO ou MDM). Desabilitar sincronização de senhas e dados de navegação em ambientes corporativos. Utilizar navegadores corporativos gerenciáveis (ex: Chrome Enterprise, Edge for Business) e segmentar o acesso aos navegadores em VDI ou containers quando acessando dados sensíveis. Uso abusivo ou indevido de SaaS sem visibilidade do time de segurança. Inventário contínuo de aplicações SaaS utilizadas na empresa (Shadow IT). Aplicação de políticas de acesso baseado em risco/contexto (ex: localização, dispositivo, horário). Integrar SaaS a soluções de DLP (Data Loss Prevention) para evitar extração indevida de dados. As auditorias são bom aliado, exercícios periódicos auditagem de logs de acesso e alterações em arquivos cloud (Google Drive, OneDrive, Dropbox).

O processo de resposta a incidentes e contenção proativa, e um aliado muito importante no dia a dia. A execução de bloqueio de tokens OAuth suspeitos imediatamente após detecção, isolamento de contas e dispositivos afetados, monitoramento contínuo de indicadores de exposição (IOEs) em plataformas de threat intel e configuração de alertas em tempo real em caso de movimentações incomuns ou downloads massivos.

Por tanto diante do avanço dos vetores de ataque voltados ao ambiente de navegação e serviços SaaS, torna-se imperativo que as empresas adotem uma postura mais proativa e contextualizada em relação à sua cibersegurança. A superfície de ataque evoluiu — agora se estende para além dos endpoints tradicionais, alcançando fluxos OAuth, extensões de navegador, sincronizações automáticas e acessos a múltiplos serviços em nuvem.

Nesse novo cenário, não basta apenas investir em soluções tecnológicas; é fundamental estabelecer uma governança de acesso robusta, políticas de uso bem definidas e visibilidade contínua sobre aplicações conectadas, especialmente em ambientes de shadow IT. A proteção eficaz dependerá da combinação de educação contínua dos usuários, automação de resposta a incidentes, uso de inteligência comportamental e controle granular de permissões. Ao alinhar medidas preventivas, como o uso de CASB, SSPM, DLP e navegadores corporativos, com ações de detecção e resposta orientadas por threat intelligence, as organizações estarão mais preparadas para enfrentar essa nova geração de ameaças que não requerem malware no disco nem exploração de vulnerabilidades convencionais. A resiliência digital, nesse contexto, será alcançada pela integração entre pessoas, processos e tecnologias.