Comando E Controle

A recente análise de um ataque cibernético revela que atores de ameaça chineses estão utilizando a ferramenta de monitoramento open-source Nezha como um framework malicioso de comando e controle. Originalmente projetada para monitoramento leve de servidores, a Nezha foi adaptada para emitir comandos arbitrários e estabelecer persistência em servidores web comprometidos. Após a implantação inicial de shells web, os atacantes instalaram agentes Nezha disfarçados de binários administrativos em mais de 100 máquinas vítimas, com a maioria dos alvos localizados em Taiwan, Japão, Coreia do Sul e Hong Kong. A infraestrutura dos atacantes apresenta características de campanhas de ameaças persistentes avançadas, utilizando recursos em nuvem como AWS e servidores privados virtuais, o que dificulta a rastreabilidade. A configuração do painel da Nezha em russo sugere uma possível cooperação global ou uso de ferramentas compartilhadas. Para mitigar esses riscos, recomenda-se que as organizações implementem segmentação de rede rigorosa e monitorem o uso anômalo de ferramentas administrativas.

Um novo framework chamado XRayC2 demonstra como atacantes podem transformar o serviço de rastreamento distribuído AWS X-Ray em um canal de comando e controle (C2) furtivo, contornando os controles de segurança de rede convencionais ao utilizar tráfego legítimo da API da AWS. Ao explorar a infraestrutura da nuvem, o XRayC2 utiliza a funcionalidade de anotação do AWS X-Ray para embutir dados criptografados em segmentos de rastreamento, roteando todas as comunicações através de domínios legítimos da AWS, como xray..amazonaws.com. Essa técnica mistura cargas maliciosas com dados de monitoramento padrão, dificultando a detecção por ferramentas que se concentram apenas na origem ou volume do tráfego.