Uma campanha atribuída com confiança moderada ao grupo BlueDelta/APT28 utilizou documentos do Microsoft Word habilitados para macros como vetor inicial. Após a execução, componentes eram instalados, tarefas agendadas criavam persistência e o backdoor HOOKEDGE utilizava recursos legítimos, incluindo Microsoft Edge em modo oculto e o serviço webhook.site, para tornar a comunicação externa menos evidente.
Existe uma lição importante nesse caso:
ameaça avançada não significa necessariamente vetor inicial sofisticado.
Estamos falando de spearphishing.
Documento.
Macro.
Execução pelo usuário.
Persistência.
Comunicação C2.
Técnicas conhecidas continuam funcionando porque o atacante não precisa inventar algo novo quando os controles existentes podem ser contornados.
Living off trusted infrastructure
Outro aspecto relevante é o uso de ferramentas e serviços legítimos.
Quanto mais o comportamento malicioso se aproxima do comportamento normal, mais difícil se torna a detecção baseada apenas em assinatura.
É por isso que organizações maduras precisam observar comportamento.
Um navegador realizando determinada comunicação pode ser normal.
Um navegador headless executado por um processo inesperado e mantendo comunicação periódica talvez não seja.
Defesa em profundidade
Uma única tecnologia dificilmente resolveria toda essa cadeia.
É necessário combinar:
segurança de e-mail, hardening, bloqueio de macros, EDR, DNS security, proxy, logs, Threat Intelligence e Threat Hunting.
Esse é exatamente o significado operacional de defesa em profundidade.
Como a MD4SIX pode ajudar
A MD4SIX pode apoiar sua organização com CTI, SOC, Threat Hunting, hardening, revisão de controles, detecção e resposta a incidentes.
Sua segurança consegue detectar apenas arquivos maliciosos ou também comportamentos anormais realizados por ferramentas legítimas?
#APT28 #ThreatIntelligence #ThreatHunting #EDR #CyberSecurity #SOC #MD4SIX