A Sophos, empresa de cibersegurança de próxima geração, publicou um relatório da SophosLabs sobre o Cloud Snooper, um sofisticado ataque que utiliza uma combinação única de técnicas para permitir que o malware nos servidores comunique livremente com os servidores de comando e controlo através de firewalls. O relatório desconstrói as tácticas, técnicas e procedimentos (TTPs) utilizados no ataque. A SophosLabs acredita que o ataque foi obra de um Estado-nação motivado pela espionagem.
Como é detalhado no relatório, os TTPs utilizados em conjunto incluem: um rootkit para evitar as políticas da firewall, uma técnica rara para obter acesso aos servidores disfarçando-se de tráfego normal; e um payload de backdoor que partilha código malicioso entre os sistemas operativos, tanto Windows como Linux, uma abordagem que é conhecida, mas invulgar. E se cada elemento individual foi observado anteriormente em ataques por adversários altamente qualificados, nunca tinham sido encontrados em conjunto. A Sophos espera que este pacote de TTPs chegue até aos ramos inferiores da hierarquia cibercriminosa e seja utilizado como modelo para novos ataques contra firewalls.
“Esta é a primeira vez que observamos uma fórmula de ataque que combina uma técnica para contornar a firewall com um payload multiplataforma, direccionado tanto para os sistemas Windows como Linux. As equipas de segurança de TI e os gestores de rede necessitam de ser diligentes na reparação de todos os serviços direccionados para o exterior, para impedir os atacantes de evadir as políticas de segurança da firewall e da cloud”, refere Sergei Shevchenko, Threat Research Manager da SophosLabs.
“As equipas de segurança de TI precisam também de se proteger contra os ataques multiplataforma. Até ao momento, os ativos baseados em Windows têm sido o alvo típico, mas os atacantes estão a começar a considerar mais os sistemas Linux, tendo em conta que os serviços cloud se tornaram áreas mais populares. É uma questão de tempo até que mais cibercriminosos adoptem estas técnicas.”
