SideWinder ataca instalações nucleares no Sul da Ásia

Os investigadores da Kaspersky detetaram uma mudança nas ações do grupo de ameaças persistentes avançadas (APT) SideWinder, que passou a atacar instalações de energia nuclear no Sul da Ásia, assinalando uma alteração significativa na sua atividade de espionagem direcionada. O grupo de cibercriminosos expandiu as suas operações para África, Sudeste Asiático e algumas regiões da Europa.

Em atividade desde 2012, o grupo tem visado entidades governamentais, militares e diplomáticas. Recentemente, alargou o seu perfil de vítimas, passando a incluir empresas de infraestruturas marítimas e de logística no Sudeste Asiático, enquanto estabeleceu novos alvos no setor nuclear.

Os investigadores da empresa de cibersegurança registaram um aumento dos ataques dirigidos a agências de energia nuclear, através da utilização de emails de spear phishing e documentos maliciosos com terminologia específica do setor.

Os especialistas da Kaspersky monitorizaram a atividade do grupo em 15 países diferentes, distribuídos por três continentes, e detetaram diversos ataques em Djibuti antes de o grupo alterar o seu foco para o Egito, lançando posteriormente operações em Moçambique, Áustria, Bulgária, Camboja, Indonésia, Filipinas e Vietname. Entidades diplomáticas no Afeganistão, Argélia, Ruanda, Arábia Saudita, Turquia e Uganda também foram alvo de ataques.

“O que estamos a testemunhar não é apenas uma expansão geográfica, mas uma evolução estratégica das capacidades e ambições do SideWinder. São capazes de implementar variantes de malware atualizadas com uma velocidade notável após a sua deteção, o que transforma o cenário de ameaças num combate quase em tempo real”, refere Vasily Berdnikov, investigador principal de segurança do GReAT da Kaspersky.

Apesar de recorrerem a uma vulnerabilidade mais antiga do Microsoft Office (CVE-2017-11882), os cibercriminosos do SideWinder aplicam modificações rápidas ao seu conjunto de ferramentas para evitar a deteção. Ao atacar infraestruturas nucleares, criam emails de spear phishing convincentes, que aparentam tratar de questões regulamentares ou específicas das instalações. Uma vez abertos, estes documentos iniciam uma cadeia de exploração que pode conceder aos atacantes acesso a dados operacionais, projetos de investigação e detalhes sobre as instalações nucleares.