Notorious Hacking Group adiciona Bangladesh à sua lista de alvos

Como parte de um esforço contínuo que começou em agosto de 2021, um grupo de phishing focado em espionagem conhecido por atacar China, Paquistão e Arábia Saudita agora está de olho em agências governamentais de Bangladesh. Com base nas sobreposições na infraestrutura de comando e controle (C2) com a de campanhas anteriores realizadas pelo mesmo grupo, a empresa de segurança cibernética Cisco Talos vinculou a atividade com confiança moderada a uma organização de hackers chamada Bitter APT.

Notorious Hacking Group adiciona Bangladesh à sua lista de alvos

Vitor Ventura, pesquisador líder de segurança da Cisco Talos para EMEA e Ásia, disse:

Bangladesh se encaixa no perfil que definimos para esse ator de ameaças, que anteriormente tinha como alvo países do Sudeste Asiático, incluindo China, Paquistão e Arábia Saudita. E agora, nesta última campanha, eles ampliaram seu alcance para Bangladesh. Qualquer novo país no sudeste da Ásia sendo alvo do Bitter APT não deve ser surpresa.

Acredita-se que o Bitter (também conhecido como APT-C-08 ou T-APT-17) seja um grupo de hackers do sul da Ásia amplamente focado na coleta de inteligência, auxiliado por malware como BitterRAT, ArtraDownloader e AndroRAT. Seus principais alvos incluem energia, engenharia e indústrias governamentais.

Esse grupo de hackers tem um histórico de exploração de defeitos de dia zero – CVE-2021-1732 e CVE-2021-28310 – para atingir seus objetivos antagônicos, com os primeiros ataques espalhando a versão móvel do BitterRAT em setembro de 2014.

Seu último ataque inclui como alvo uma entidade de elite do governo de Bangladesh. Envolveu o envio de e-mails de hackers para os oficiais superiores da Unidade do Batalhão de Ação Rápida da polícia de Bangladesh (RAB).

Seguindo a trajetória típica, o grupo de hackers usou as mensagens para atrair os destinatários para abrir um documento RTF armado ou uma planilha do Microsoft Excel que usa falhas anteriormente conhecidas no software para implantar um novo trojan apelidado de “ZxxZ”.

Segundo os pesquisadores,

O trojan se disfarça como um serviço de atualização de segurança do Windows e permite que o agente mal-intencionado execute a execução remota de código, permitindo que o invasor execute qualquer outra atividade instalando outras ferramentas.

Verificação de saída? Spotify agora aberto para negócios para anunciantes no Paquistão, Bangladesh e Sri Lanka