BadCake
O APT32 (Ameaça Persistente Avançada) é uma organização de crimes cibernéticos que se acredita originária do Vietnã. Sabe-se que esses cibercriminosos operam desde 2013 e estão introduzindo atualizações regulares no seu arsenal de hackers, além de estabelecer novas infraestruturas e projetos. O APT32 também é conhecido como Ocean Lotus e tende a visar alvos de alto perfil. Esse grupo de hackers é conhecido por atingir dissidentes e jornalistas, bem como organizações políticas e empresariais. A maioria dos ataques lançados pelo APT32 geralmente se concentra na região do Sudeste Asiático - Filipinas, Camboja, Laos e outros. O APT32 possui um amplo arsenal de ferramentas de hackers, o que lhes permite realizar campanhas de vigilância a longo prazo e operações de extração de dados. Entre as ferramentas de hackers mais notáveis no arsenal do APT32, está a ameaça BadCake - um Trojan backdoor personalizado.
Segundo relatos, o Trojan backdoor BadCake é propagado pelos e-mails de spear-phishing direcionados a determinados indivíduos. Outro vetor de infecção usado na distribuição do Trojan BadCake são os ataques a poços d'água. Assim que o Trojan backdoor BadCake se infiltra no computador visado, ele começa a coletar dados sobre o software e o hardware do sistema. O Trojan BadCake permite que o APT32 altere as configurações do host executando certos comandos arbitrários. Isso permite que o Trojan BadCake comprometa e incapacite as medidas de segurança do sistema. Como o Trojan BadCake também pode servir como um backdoor, isso permite que os atacantes plantem malware adicional que servirá como cargas secundárias.
O Trojan BadCake parece ser utilizado para operações de reconhecimento a longo prazo. É por isso que a ameaça é programada para ganhar persistência no host infectado. O Trojan backdoor BadCake pode ganhar persistência criando uma tarefa agendada no sistema ou um serviço falso do Windows. O malware BadCake utiliza o DGA (Algoritmo de Geração de Domínio) para iniciar subdomínios, que operam por meio de servidores de C&C (Comando e Controle) codificados. Isso permite que o Trojan BadCake seja executado sempre que a vítima reiniciar o seu PC.
O APT32 está usando o Trojan backdoor BadCake em uníssono com duas ferramentas de hacking publicamente disponíveis - o malware Mimikatz e a ameaça Cobalt Strike. O primeiro é usado para coletar credenciais de login dos seus alvos, enquanto o último serve como uma estrutura de pós-exploração.
O APT32 é um grupo de hackers bem conhecido, que está ativo há um bom tempo e provavelmente continuará colocando em risco certos alvos na região do Sudeste Asiático. Não se esqueça de proteger o seu computador com um programa anti-malware genuíno e respeitável.
