Ameaça confirmada contra o governo ucraniano
O grupo de ameaças UAC-0099, vinculado a interesses russos, foi apontado como responsável por uma série de ataques que utilizam um infostealer desenvolvido em .NET e um trojan de acesso remoto denominado ASHVEIN. A descoberta foi feita pela empresa de segurança cibernética TrendAI, que acompanha o cluster de atividade conhecido como Earth Sirrush, anteriormente rotulado como SHADOW-EARTH-065. Os alvos principais são servidores e estações de trabalho de funcionários do governo da Ucrânia, com a intenção de extrair informações sensíveis e garantir controle prolongado sobre os sistemas comprometidos.
Contexto da atividade do grupo
Historicamente, UAC-0099 tem sido associado a campanhas de espionagem e sabotagem que visam entidades governamentais e militares da Ucrânia. A mudança de nome do cluster para Earth Sirrush reflete a evolução das táticas empregadas, que agora combinam componentes de roubo de dados com funcionalidades de acesso remoto. A tendência de ocultar comandos maliciosos dentro de arquivos HTML permite que o código seja executado de forma discreta, dificultando a detecção por soluções de segurança tradicionais. Essa estratégia se alinha a práticas observadas em outros grupos APT que buscam contornar mecanismos de defesa baseados em assinatura.
Impacto nos alvos e riscos associados
Até o momento, a TrendAI identificou que as campanhas afetaram múltiplos servidores de agências governamentais, comprometendo credenciais de acesso e possibilitando a movimentação lateral dentro das redes internas. Embora não haja números públicos sobre a extensão total dos danos, a presença de um RAT como ASHVEIN eleva o risco de exfiltração de documentos estratégicos e de manipulação de sistemas críticos. Organizações que dependem de infraestrutura de TI vulnerável a scripts embutidos em HTML podem enfrentar interrupções operacionais, além de potenciais vazamentos de informações classificadas.
Detalhes técnicos do malware
Do ponto de vista técnico, o infostealer .NET foi desenvolvido para se integrar a processos legítimos, aproveitando bibliotecas padrão da plataforma para evitar suspeitas. O trojan ASHVEIN estabelece comunicação com servidores de comando e controle por meio de protocolos criptografados, permitindo que os operadores enviem instruções adicionais sem necessidade de atualizações de código. A técnica de ocultar comandos dentro de arquivos HTML funciona ao injetar scripts JavaScript que, ao serem renderizados, decodificam e executam payloads nativos. Essa abordagem reduz a superfície de ataque, pois arquivos HTML são comumente permitidos em ambientes corporativos e raramente são inspecionados por ferramentas de detecção de malware.
Perspectivas e recomendações
Para mitigar a ameaça, especialistas recomendam a implementação de políticas de filtragem de conteúdo que bloqueiem a execução de scripts não assinados em documentos HTML, bem como a adoção de soluções de monitoramento de comportamento que identifiquem atividades anômalas de processos .NET. Além disso, a atualização regular de assinaturas de antivírus e a aplicação de patches de segurança nos sistemas operacionais permanecem medidas essenciais. Até o momento, as autoridades ucranianas ainda não divulgaram respostas oficiais, mas a colaboração com parceiros internacionais de inteligência cibernética deve intensificar-se para rastrear a infraestrutura de comando e controle associada ao Earth Sirrush.
A TrendAI continuará acompanhando o desenvolvimento das campanhas e divulgará novas informações conforme forem obtidas. Fonte: The Hacker News.