Ciberatacantes russos usam malware espalhado por USB para atacar Ucrânia

O cibergrupo Gamaredon, com ligações à Rússia, tem utilizado drives USB infetadas para movimentos laterais dentro de redes ucranianas comprometidas, diz a Symantec.

Este grupo – ativo desde meio de 2013 e focado principalmente em pessoas e entidades ucranianas – tipicamente utiliza emails de phishing para distribuir malware e fornece acesso a redes comprometidas a outros cibergrupos.

Nos ataques mais recentes, o grupo tem-se focado em organizações do governo, pessoal militar e serviços de segurança na Ucrânia. Em alguns casos, o grupo conseguiu obter acesso à rede das vítimas durante três meses.

Um novo script PowerShell utilizado em ataques recentes distribui o backdoor personalizado do grupo – intitulado Pterodo – através de drives USB. O script copia-se automaticamente para a máquina infetada, enumera todas as drives e copia-se para as que podem ser removidas.

“Estas unidades USB provavelmente são usadas pelos invasores para movimentação lateral nas redes das vítimas e podem ser utilizadas para ajudar os invasores a alcançar máquinas air-gapped dentro das organizações-alvo”, observa a Symantec.