Uma análise mais detalhada do ator de ameaças persistentes avançadas Turla

No domínio da segurança cibernética, o cenário de ameaças persistentes e em evolução desafia continuamente os defensores em todo o mundo. Entre a miríade de adversários, um grupo atraiu atenção significativa por sua sofisticação, persistência e natureza evasiva: Turla, também conhecido como Waterbug, Venomous Bear ou Uroboros.

Origens e Evolução

As raízes do Turla remontam ao início dos anos 2000, onde emergiu como um grupo de espionagem cibernética visando principalmente governos, instituições militares, embaixadas e organizações de investigação. Inicialmente, Turla se concentrou na exfiltração de informações confidenciais para obter vantagens estratégicas. Ao longo do tempo, contudo, as suas tácticas, técnicas e procedimentos (TTP) evoluíram, demonstrando notável adaptabilidade e resiliência contra medidas defensivas.

Operações e táticas iniciais

Em seus estágios iniciais, o Turla contou com ferramentas básicas de malware e táticas de engenharia social para se infiltrar nas redes alvo. Os vetores comuns incluíam e-mails de spearphishing com anexos ou links maliciosos, exploração de vulnerabilidades em software e aproveitamento de ataques watering hole para comprometer sites legítimos frequentados pelo público-alvo.

O arsenal inicial de malware do grupo incluía Trojans de acesso remoto (RATs), como “Agent.BTZ” e “Turla”, permitindo o controle remoto de sistemas comprometidos. Essas ferramentas facilitaram a exfiltração de dados, o registro de pressionamentos de tecla e as atividades de vigilância, estabelecendo as bases para operações mais sofisticadas nos anos seguintes.

Maturação e capacidades avançadas

À medida que as defesas de segurança cibernética evoluíram, a Turla adaptou-se, incorporando técnicas avançadas de evasão e aproveitando explorações de dia zero para manter o acesso às redes alvo. Notavelmente, o grupo desenvolveu ferramentas personalizadas adaptadas a alvos específicos, demonstrando um elevado nível de sofisticação operacional e experiência no desenvolvimento de malware.

Uma das técnicas marcantes de Turla é o abuso de infraestrutura legítima para comunicação de comando e controle (C2). Ao sequestrar domínios confiáveis, utilizar servidores comprometidos ou explorar serviços em nuvem, o grupo mascara suas atividades maliciosas, tornando a atribuição e a detecção um desafio para os defensores.

Arsenal de malware: um olhar mais atento

No centro das operações da Turla está seu kit de ferramentas de malware diversificado e em constante evolução. Ao longo dos anos, o grupo implantou uma série de softwares maliciosos sofisticados, cada um projetado para cumprir objetivos específicos e, ao mesmo tempo, evitar a detecção por soluções antivírus e defesas de rede.

Dentro do amplo repertório de malware implantado pelo grupo Turla Advanced Persistent Threat (APT), diversas variantes notáveis deixaram uma marca significativa no cenário da segurança cibernética. Entre eles, “Kazuar”, “ComRAT” e “TinyTurla” se destacam como formidáveis ferramentas utilizadas pela Turla em suas campanhas de espionagem.

Kazuar: O Camaleão da Espionagem

Kazuar, apropriadamente nomeado em homenagem ao esturjão do Mar Cáspio, personifica a adaptabilidade e a furtividade de Turla. Esta ferramenta modular de acesso remoto (RAT), identificada pela primeira vez em 2017, serve como um instrumento versátil para penetrar e vigiar redes alvo. A força do Kazuar reside no seu design modular, permitindo aos operadores do Turla personalizar a sua funcionalidade para atender aos objetivos específicos da missão.

Os principais recursos do Kazuar incluem:

Operação furtiva: Kazuar emprega técnicas avançadas de evasão para evitar a detecção por soluções de segurança, permitindo a implantação secreta em ambientes alvo.
Comunicação robusta: facilitando a interação perfeita entre endpoints comprometidos e operadores remotos, Kazuar aproveita canais de comunicação seguros, como HTTP e HTTPS.
Capacidades flexíveis: desde a coleta de pressionamentos de teclas e captura de tela até a coleta de metadados do sistema, Kazuar oferece uma ampla gama de funcionalidades de espionagem adaptadas às necessidades operacionais da Turla.
Com a sua capacidade de se adaptar às medidas defensivas em evolução e o seu extenso conjunto de recursos, Kazuar continua a ser uma ferramenta poderosa no arsenal de Turla, representando um desafio formidável para os defensores que procuram detectar e mitigar o seu impacto.

ComRAT: uma plataforma de espionagem persistente

O ComRAT, também conhecido como Agent.BTZ e malware de “segundo estágio” da Turla, representa a pedra angular das operações de espionagem cibernética da Turla. Surgido em 2007, o ComRAT passou por diversas iterações, evoluindo para uma sofisticada plataforma de espionagem capaz de conduzir vigilância aprofundada e manter acesso persistente a redes comprometidas.

Os principais atributos do ComRAT incluem:

Coleta avançada de dados: O ComRAT é excelente na coleta de uma ampla gama de informações confidenciais de sistemas comprometidos, incluindo documentos, e-mails e credenciais.
Comunicação secreta: Empregando técnicas como tunelamento DNS e esteganografia, o ComRAT facilita a exfiltração discreta de dados enquanto evita a detecção por mecanismos de monitoramento de rede.
Arquitetura Modular: Semelhante ao Kazuar, o ComRAT apresenta um design modular, permitindo que os operadores do Turla adaptem sua funcionalidade aos requisitos operacionais específicos.
Como uma plataforma de espionagem completa, a ComRAT sublinha o compromisso da Turla com a inovação tecnológica e a excelência operacional na prossecução dos seus objectivos.

TinyTurla: o agente leve de espionagem

TinyTurla, um agente de espionagem leve observado pela primeira vez em 2019, representa um afastamento das táticas tradicionais de malware do Turla. Ao contrário dos seus antecessores, que muitas vezes dependiam de capacidades complexas e sofisticadas, o TinyTurla adota uma abordagem minimalista, concentrando-se na furtividade e na agilidade.

As principais características do TinyTurla incluem:

Design compacto: o tamanho reduzido e o código minimalista do TinyTurla dificultam a detecção e a análise, permitindo uma implantação furtiva nos ambientes de destino.
Vigilância direcionada: Apesar de sua simplicidade, o TinyTurla se destaca na condução de vigilância direcionada, coletando informações confidenciais e facilitando o acesso remoto a sistemas comprometidos.
Baixo consumo de recursos: Projetado para operar eficientemente em sistemas com recursos limitados, o TinyTurla minimiza seu impacto em endpoints comprometidos, reduzindo a probabilidade de detecção.
Embora menos rico em recursos em comparação com Kazuar e ComRAT, o design leve e a agilidade do TinyTurla o tornam um ativo valioso nas campanhas de espionagem do Turla, destacando ainda mais a adaptabilidade e inovação do grupo diante da evolução das defesas de segurança cibernética.

O TinyTurla-NG ou Next Generation foi usado em uma campanha de ataque contra ONGs polonesas no final de 2023. De acordo com um relatório da Cisco Talos, o TinyTurla-NG funciona como um pequeno backdoor de “última chance”, projetado para uso quando outras ferramentas de acesso não autorizado falharem. ou foram detectados em sistemas comprometidos.

O Pelmeni Wrapper é outra ferramenta do arsenal malicioso de Turla, demonstrando os seguintes recursos:

• Registro operacional: cria um arquivo de registro oculto com nomes e extensões aleatórios para monitorar discretamente a atividade da campanha.
• Entrega de carga útil: utiliza um método de descriptografia personalizado utilizando um gerador de números pseudoaleatórios para permitir o carregamento e a execução de funções.
• Redirecionamento do fluxo de execução: manipula threads de processo e introduz injeção de código para redirecionar a execução para um assembly .NET descriptografado que abriga os componentes centrais do malware.

Olhando para o futuro, combater a ameaça Turla requer uma abordagem multifacetada que englobe a partilha de informações sobre ameaças, estratégias proativas de defesa de rede e colaboração entre entidades dos setores público e privado. Ao compreender as tácticas do grupo, alavancar tecnologias de segurança de ponta e promover uma cultura de sensibilização para a segurança cibernética, as organizações podem defender-se melhor contra a ameaça em constante evolução representada pela Turla e por actores de ameaças persistentes avançadas semelhantes.