Polonium: grupo de ciberespionagem ataca organizações israelenses com malware personalizado

A equipe de pesquisa da ESET revelou algumas recentes descobertas sobre o Polonium, um grupo APT (ameaça persistente avançada) sobre o qual há pouca informação pública disponível – até o momento não sabemos qual é o vetor de comprometimento inicial utilizado pelos criminosos. O Polonium é um grupo de ciberespionagem que foi identificado pela primeira vez em junho de 2022 pelo Microsoft Threat Intelligence Center (MSTIC). De acordo com a análise da MSTIC, o Polonium é um grupo com sede no Líbano que coordena suas atividades com outros criminosos afiliados ao Ministério de Inteligência e Segurança do Irã (MOIS).

De acordo com a telemetria da ESET, o Polonium tem sido utilizado em ataques direcionados a mais de uma dúzia de organizações em Israel desde pelo menos setembro de 2021, com a mais recente atividade do grupo registrada em setembro de 2022. Os setores visados pelo grupo incluem engenharia, tecnologia da informação, direito, comunicações, marketing e gerenciamento de marcas, mídia, seguros e serviços sociais. Nossas descobertas, apresentadas no final de setembro na conferência Virus Bulletin 2022, incluem as táticas utilizadas por este grupo, bem como detalhes sobre uma série de backdoors não documentados anteriormente.

As numerosas versões e mudanças que o Polonium inseriu em suas ferramentas personalizadas mostram um esforço contínuo e de longo prazo por parte do grupo para espionar seus alvos. Embora não tenhamos observado quais comandos os operadores executaram nas máquinas atacadas, podemos deduzir, ao observar o conjunto de ferramentas, que eles estão interessados em coletar dados sensíveis dos sistemas das vítimas. O grupo não parece se envolver em ações de sabotagem ou ransomware.

Como podemos ver na Figura 1, o conjunto de ferramentas do Polonium é composto de sete backdoors personalizados: CreepyDrive, que se aproveita dos serviços em nuvem OneDrive e Dropbox para o C&C; CreepySnail, que executa comandos recebidos da própria infraestrutura dos atacantes; DeepCreep e MegaCreep, que utilizam serviços de armazenamento de arquivos Dropbox e Mega, respectivamente; e FlipCreep, TechnoCreep e PapaCreep, que recebem comandos dos servidores do atacante. O grupo também utilizou vários módulos personalizados para espionar seus alvos.

Acesso Inicial

Embora não saibamos como o grupo obteve acesso inicial aos sistemas das vítimas, alguns dos dados de acesso para a conta VPN da Fortinet das vítimas foram roubadas em setembro de 2021 e depois publicadas na Internet. É possível, portanto, que os cibercriminosos tenham obtido acesso às redes internas das vítimas utilizando os dados de login à VPN vazados.

Conjunto de ferramentas

Como mencionado acima, os detalhes de cada uma das ferramentas utilizadas pelo grupo Polonium podem ser encontrados na versão deste post em inglês. Como um spoiler, vale mencionar que o Polonium é um grupo ativo que está constantemente introduzindo modificações nas ferramentas personalizadas que utiliza e que temos observado mais de 10 módulos maliciosos diferentes desde que começamos a monitorar a atividade do grupo. A maioria destes módulos foi atualizada ao longo do tempo e muitos deles têm múltiplas versões ou pequenas mudanças para uma determinada versão.

Algumas das características mais interessantes do conjunto de ferramentas utilizadas por este grupo são:

• Abundância de ferramentas: desde setembro de 2021, vimos sete backdoors personalizados diferentes sendo utilizados pelo grupo, e também observamos muitos outros módulos maliciosos utilizados para gravar digitações de teclas, tirar screenshots, executar comandos de forma remota na máquina da vítima, tirar fotos através de webcams ou roubar arquivos.
• Ferramentas personalizadas: em vários ataques realizados por este grupo em um curto período de tempo, detectamos que o mesmo componente continha pequenas mudanças. Em alguns outros casos, observamos um módulo, escrito do zero, que seguia a mesma lógica de alguns componentes anteriores. Somente em alguns casos vimos o grupo utilizando ferramentas ou códigos disponíveis publicamente. Tudo isso indica que o Polonium cria e mantém suas próprias ferramentas.
• Serviços em nuvem: o grupo utiliza serviços em nuvem como Dropbox, OneDrive e Mega para comunicações do C&C (receber comandos e roubar dados).
• Componentes menores: a maioria dos módulos do grupo são pequenos e com funcionalidades limitadas. Em um caso, os criminosos usaram um módulo para tirar screenshots e outro para carregá-los para o servidor C&C. Seguindo a mesma abordagem, o grupo gosta de dividir o código em seus backdoors, distribuindo a funcionalidade maliciosa em várias DLLs pequenas, talvez esperando que os pesquisadores não observem toda a cadeia de ataque.

Para detalhes técnicos sobre os módulos maliciosos CreepyDrive, CreepySnail, DeepCreep, MegaCreep, FlipCreep, TechnoCreep, PapaCreep utilizados pela Polonium, bem como informações sobre outros módulos, infraestrutura de rede e indicadores de comprometimento, leia o post POLONIUM targets Israel with Creepy malware.

Os relatórios de inteligência sobre o Polonium são escassos e limitados, provavelmente porque os ataques do grupo são altamente direcionados e pelo fato do vetor de acesso inicial ser desconhecido até o momento. A equipe de pesquisa da ESET continuará monitorando a atividade do grupo e registrando seus ataques.

Técnicas do MITRE ATT&CK

Esta tabela foi criada através da versão 11 do framework MITRE ATT&CK.

Tactic	ID	Name	Description
Resource Development	T1583.003	Acquire Infrastructure: Virtual Private Server	POLONIUM has acquired various servers for C&C and also for storing exfiltrated files.
	T1587.001	Develop Capabilities: Malware	POLONIUM has developed at least six backdoors and several other malicious modules.
	T1588.001	Obtain Capabilities: Malware	POLONIUM has used a publicly available keylogger.
Execution	T1059.001	Command and Scripting Interpreter: PowerShell	POLONIUM has used the CreepySnail and CreepyDrive PowerShell backdoors in their attacks.
	T1059.003	Command and Scripting Interpreter: Windows Command Shell	DeepCreep, MegaCreep, FlipCreep and TechnoCreep use cmd.exei to execute commands in a compromised computer.
	T1129	Shared Modules	DeepCreep and MegaCreep have their code divided into small DLLs, which are loaded both statically and dynamically.
Persistence	T1547.009	Boot or Logon Autostart Execution: Shortcut Modification	POLONIUM’s backdoors persist by writing shortcuts to the Windows Startup folder.
	T1053.005	Scheduled Task/Job: Scheduled Task	DeepCreep, MegaCreep and FlipCreep create scheduled tasks for persistence.
Defense Evasion	T1140	Deobfuscate/Decode Files or Information	DeepCreep and MegaDeep use AES encryption to obfuscate commands and login credentials stored in local files on the victim’s computer.
	T1070.004	Indicator Removal on Host: File Deletion	POLONIUM’s exfiltration modules delete screenshot files or keystroke logs from a compromised host after they are exfiltrated.
	T1036.005	Masquerading: Match Legitimate Name or Location	POLONIUM has used filenames such as Mega.exei or DropBox.exei for its backdoors, to make them look like legitimate binaries.
	T1218.004	System Binary Proxy Execution: InstallUtil	POLONIUM has used InstallUtil.exei to execute DeepCreep.
	T1083	File and Directory Discovery	POLONIUM’s custom exfiltrator module builds a listing of files for any given folder.
	T1057	Process Discovery	DeepCreep, MegaCreep and FlipCreep look for running processes and kill other instances of themselves.
	T1082	System Information Discovery	TechnoCreep and POLONIUM’s reverse shell module send information such as computer name, username, and operating system to a remote server, in order to identify their victims.
	T1016	System Network Configuration Discovery	TechnoCreep sends a list of IP addresses associated with a victim’s computer.
	T1033	System Owner/User Discovery	POLONIUM has executed whoami.exei to identify the logged-on user.
Collection	T1560.002	Archive Collected Data: Archive via Library	DeepCreep, MegaCreep and FlipCreep use .NET’s ZipFile class to archive collected data.
	T1115	Clipboard Data	POLONIUM’s custom keylogger retrieves clipboard data from compromised computers.
	T1005	Data from Local System	POLONIUM’s exfiltrator module collects files from a compromised system.
	T1056.001	Input Capture: Keylogging	POLONIUM has used custom and publicly available keyloggers.
	T1113	Screen Capture	POLONIUM has used custom modules for taking screenshots.
	T1125	Video Capture	POLONIUM has used a custom module to capture images using the compromised computer’s webcam.
Command and Control	T1071.001	Application Layer Protocol: Web Protocols	CreepySnail and POLONIUM’s file exfiltrator modules use HTTP communication with the C&C server.
	T1071.002	Application Layer Protocol: File Transfer Protocols	FlipCreep and POLONIUM’s file exfiltrator modules use FTP communication with the C&C server.
	T1132.001	Data Encoding: Standard Encoding	CreepySnail, CreepyDrive and some of POLONIUM’s reverse shell modules use base64-encoded commands to communicate with the C&C server.
	T1573.001	Encrypted Channel: Symmetric Cryptography	DeepCreep and MegaCreep AES encrypt commands and their output.
	T1095	Non-Application Layer Protocol	TechnoCreep and POLONIUM’s reverse shell module use TCP.
	T1571	Non-Standard Port	POLONIUM has used non-standard ports, such as 5055 or 63047, for HTTP.
	T1572	Protocol Tunneling	POLONIUM’s tunnels module uses the Plink utility to create SSH tunnels.
	T1102.002	Web Service: Bidirectional Communication	POLONIUM has used cloud platforms such as OneDrive, Dropbox, and Mega to send commands and store the output.
Exfiltration	T1041	Exfiltration Over C2 Channel	DeepCreep, MegaCreep, FlipCreep and TechnoCreep exfiltrate files over the C&C channel via uploadi commands.
	T1567.002	Exfiltration Over Web Service: Exfiltration to Cloud Storage	POLONIUM has used OneDrive, Dropbox, and Mega cloud storage to store stolen information.