Grupos de ciberespionagem chineses, incluindo o Camaro Dragon, avançaram em seu método de infecção por malware ao redor do mundo através de pen drives. Conforme uma recente investigação da Check Point Incident Response Team (CPIRT), um sistema de saúde europeu foi comprometido por um drive USB infectado, resultando na propagação incontrolável do malware para várias redes globais.
Um conjunto de ferramentas de malware, mencionadas em um relatório da Avast no fim de 2022, foram encontradas em uma instituição de saúde da Europa pela CPIRT em uma investigação que ocorreu no início de 2023. O autor do ataque foi identificado como o agente de ameaças Camaro Dragon, um agente de espionagem com base na China que possui TTPs – Tactics, Techniques, and Procedures, ou Táticas, Técnicas e Procedimentos – similares às de outros grupos, como o Mustang Panda e LuminousMoth.
De acordo com a CPIRT, a infecção na Europa foi apenas um dano colateral, e não o alvo dos ataques. A infecção foi causada por um malware com capacidades de auto propagação por meio de USBs. Neste caso, o Paciente Zero foi identificado como um empregado que teve seu pen drive contaminado pelo computador de um colega e, inadvertidamente, espalhou o malware ao conectá-lo aos sistemas de computador do hospital em que trabalhava na Europa.
Ao abrir o pen drive infectado a vítima só consegue enxergar um launcher malicioso, que possui o nome do drive USB e seu ícone – efetivamente se disfarçando como o dispositivo – e todos os arquivos no pen drive afetado ficam ocultos em uma pasta separada. Ao abrir o launcher, a reação em cadeia se inicia. Todos os arquivos previamente ocultos são revelados e todos os drives com os quais ele interage serão contaminados.
Esse método faz com que a infecção se propague rapidamente e de forma descontrolada, aumentando sua periculosidade. A CPIRT relatou ter encontrado evidências de infecção com malware via USB em Myanmar, Coreia do Sul, Grã-Bretanha, Índia e Rússia, ressaltando a natureza global da ameaça.
Trata-se de um caso que reforça a necessidade do investimento em segurança mesmo para empresas que poderiam não ser os alvos principais das campanhas de ciberataques, mas podem acabar se tornando vítimas de espionagem e ter suas informações confidenciais roubadas e distribuídas por agentes mal-intencionados.
André Morel | Itshow
