Campanha patrocinada por estado comprometeu portais legítimos via water-hole para abusar de software de assinatura eletrônica e iniciar cadeias de invasão com malware e ransomware.
| Componente | AnySign4PC e softwares de segurança financeira não identificados (produtos A e I); backdoors SIGNBT e COPPERHEDGE; ransomware Gunra |
| Vetor | Exploração de water-hole em portais legítimos combinada com um ataque de estouro de buffer no AnySign4PC via comunicação WebSocket sem interação do usuário, além de mensagens de spear-phishing |
| Impacto | Execução remota de código, injeção de shellcode, roubo de credenciais, movimento lateral, instalação de backdoors de acesso total e deslocamento para operações de ransomware |
| Prioridade | Atualização imediata do AnySign4PC para a versão corrigida, monitoramento de telemetria comportamental em memória, registro e processos do sistema, e busca por persistência via SSH |
| Versões Afetadas | AnySign4PC versões 1[.]1[.]4[.]4 até 1[.]1[.]4[.]6 (versão corrigida: 1[.]1[.]5[.]0) |
| Indicadores de Comprometimento | Endereço de túnel reverso 176.65.128[.]26, domínio jshosting[.]me, impressão digital de chave pública SSH Qr1to32lQHxEu6phzNyrTZrU0iElrOfVWMBLnqoen24, arquivos net.tmp e inet.tmp |
Uma campanha cibernética sofisticada, atribuída a atores patrocinados por estado, foi detalhada em um comunicado conjunto da Agência de Internet e Segurança da Coreia (KISA), Serviço de Inteligência Nacional, Agência Nacional de Polícia e Instituto de Segurança Financeira, com análises técnicas de empresas de segurança como AhnLab, S2W, ENKI Whitehat e Plainbit. A operação, documentada sob o nome de Operação Double Barrel, elucidou uma estratégia de invasão fundamentada na penetração de portais da web domésticos confiáveis para explorar uma falha de dia zero em softwares de segurança locais. O princípio que facilitou as infecções iniciais consistiu no comprometimento de portais que os alvos provavelmente visitavam, transformando-os em vetores de武器ização graças às vulnerabilidades existentes nos mecanismos de assinatura eletrônica.
O escopo da campanha abrangeu a identificação de evidências de intrusão em mais de setenta organizações, além do sequestro e weaponization de pelo menos quinze portais legítimos. O inimigo empregou ferramentas como o backdoor SIGNBT, também referenciado como Struggle, e o COPPERHEDGE, designado como Brandoor. A metodologia revela um nível de sofisticação capaz de contornar interações e prompts de download tradicionais, resultando na execução arbitrária de código. A análise subsequente estabeleceu fortes indicativos de cooperação ou recursos compartilhados que recaíram na implantação do ransomware Gunra, evidenciando uma superfície de ataque multifacetada.
O centro desta intrusão reside na exploração do software AnySign4PC, um aplicativo crítico para Assinaturas baseadas em certificados na Coreia do Sul. As vulnerabilidades nas versões 1[.]1[.]4[.]4 a 1[.]1[.]4[.]6 permitem que atores maliciosos causem um estouro de buffer que culmina na execução de código. O vetor é acionado quando um cliente comprometido acessa um portal infectado, sem exigir a execução manual, o que o torna extremamente furtivo e difícil de ser detectado inicialmente pela equipe de resposta. A necessidade de ações corretivas imediatas é altamente priorizada para os administradores de rede e especialistas em cibersegurança.
O fluxo de infecção observado na Operação Double Barrel revela uma sequência complexa de etapas que avalia versões do sistema em tempo real e adapta o shellcode correspondente. A análise técnica da AhnLab detalhou que o sistema malicioso empregava quatro imagens na extensão PNG para realizar o intercâmbio de chaves de criptografia, validar a versão instalada do software AnySign4PC, disparar a execução de scripts sob medida e relatar o sucesso da operação aos invasores. A comunicação local entre o portal comprometido e a instância do aplicativo vulnerável ocorria via protocolo WebSocket, proporcionando um canal ágil para o envio dos dados que causavam o estouro de buffer.
Ao obter êxito na falha de memória, o fluxo injetava o conteúdo malicioso diretamente em processos legítimos do sistema operacional da Microsoft. O relatório separado da empresa Plainbit reconstruiu um incidente isolado de water-hole, destacando que a execução resultante forçava o programa de segurança vulnerável a gerar uma erro fatal e, simultaneamente, criar um arquivo com extensão DLL malicioso, suprimindo totalmente a necessidade de interação humana ou diálogos de alerta do navegador. Uma vez lançado, o backdoor decifrava as camadas de execução subsequentes direto na memória RAM para dificultar a varredura de antivírus.
A estáção comprometida passava então a ler suas configurações do Command and Control a partir de chaves de registro do Windows, utilizando processos legítimos, como o svchost.exe. Após a consolidação da infecção inicial, os atacantes utilizavam mecanismos de escalonamento de privilégios, ferramentas de roubo de credenciais em memória, protocolos de área de trabalho remota e ferramentas de força bruta como o NLBrute para transitar lateralmente na rede. A análise da S2W identificou três ramificações de malware baseadas na técnica de DLL side-loading, além de apontar o uso de blobs de registro criptografados e carregamento em memória de arquivos PE, marcando um alto nível de sofisticação.
A abrangência técnica deste incidente impactou uma profusão de ambientes institucionais e corporativos. A escolha por portais e instituições governamentais como vetor de água demonstra o direcionamento tático focado em funcionários strategically selecionados. Adicionalmente, as medidas da Plainbit e da AhnLab demonstram alvos de grande expressão atacados simultaneamente.
A análise das últimas ocorrências connecta o núcleo direto desta campanha a outras feridas paralelas na cadeia de suprimentos de segurança, evidenciando que a manutenção preventiva de sistemas legados de assinatura digital é fundamental.
- Ambientes corporativos e institucionais da Coreia do Sul focados em serviços governamentais e(notícias), educação, saúde e manufatura.
- 72 organizações que apresentaram evidências de intrusão mapeadas pela AhnLab durante o ano de 2026.
- Estáções de trabalho Windows executando versões desatualizadas do AnySign4PC (1[.]1[.]4[.]4 até 1[.]1[.]4[.]6) utilizadas por usuários de portais domésticos.
- Infraestrutura Web de portais legítimos noticiosos e institucionais, &(15 portais)& comprometidos através da implantação de webshells para a modificação dinâmica do comportamento dos portais.
- Ambientes de rede interna que permitiram comunicação de saida para endereços IP de túnel reverso(176.65.128[.]26) e domínios de distribuição comprometidos(; jshosting[.]me;).
Devido à natureza evasiva destas ameaças que residem preferencialmente na memória do sistema e apagam vestígios em disco após sua execução, a telemetria comportamental em tempo real torna-se indispensável. As recomendações Qing de Defesa digital dos relatórios indicam que profissionais de Segurança de Operações (SecOps) devem focar suas buscas em anomalias de processos do Windows, alterações inesperadas no Registro do sistema e comunicação de rede não autorizada.
Investigadores devem priorizar a inspeção de tráfego anômalo na rede baseado em protocolos SSH originários de tarefas agendadas recém-criadas. Além disso, é fundamental avaliar padrões de injeção de thread e acesso a credenciais em memória. A coleta de evidências voláteis deve preceder qualquer contenção drástica ou desligamento para assegurar a integridade dos indicadores de ataque.
- Monitoramento contínuo de injeções de DLL através de processo de svchost.exe e SyncHost.exe legítimos do sistema.
- Identificação de criação de Tarefas Agendadas pelo Windows não documentadas com a identificação 'RuntimeBroker' acionando arquivos de script como 'task.vbs'.
- Detecção de processos renomeados, como instâncias de clientes SSH alterados para nomes como SearchHost.exe abrindo conexões de túnel reverso externo.
- Análise do Registro do Windows em busca de chaves de serviço contendo estruturas de dados criptografadas improváveis para a função do serviço.
- Detecção de carregamento em memória de arquivos binários(Win32 Portable Executable) e registros em logs de eventos de-subsequent anomalias no encerramento de processos do sistema.
O processo de remediação e contenção deste vetor exige uma abordagem multissetorial e técnica. Como ação mais urgente e imediata de mitigação tecnológica, as autoridades sul-coreanas recomendam enfaticamente que todos os redes filiadas aos portais de certificação verifiquem a presença de versões vulneráveis do software(AnySign4PC).
A ação de desinstalação manual de versões legadas(antes de 1[.]1[.]5[.]0) é obrigatória para interromper a cadeia de execução remota. As equipes de segurança da informação corporativa que monitoram servidores web internos ou direcionados ao público externo devem realizar auditorias forensesこれまで em códigos JavaScript embutidos em paginas institucionais ou CMS para identificar a presença dearedes webshells.
- Remover todas as instâncias das versões 1[.]1[.]4[.]5 do AnySign4PC, priorizando a migrate para versão oficial lançada 1[.]1[.]5[.]0.
- Conduzir implementação de regras empiricas de prevenção de intrusões(IPS) e bloqueios de Firewall para destinos conectados à rede de comando e controle da fusão(176.65.128[.]26).
- Isolar e submeter a análise forense máquinas com comunicação ativa e uso excessivo em(.PNG) solicitadas externamente, realizando dumps da memória RAM antes da limpeza do equipamento.
- Monitorar de contas de serviços e usuários(IIS service accounts) de operação web para evitar a alteração de arquivos ini の configurações (.htaccess de CMS nativos).
- Examinar centralizadamente os repositórios Git corporativos em busca de chaves de acesso SSH (impressões digitais(Qr1to32lQHxEu6phzNyrTZrU0iElrOfVWMBLnqoen24)) implantadas para o controle persistente da intrusão.
0 Comentários