Higaisa APT

O Higaisa APT (Ameaça Persistente Avançada) é um grupo de hackers, que provavelmente se origina da Península Coreana. O grupo de hackers Higaisa foi estudado extensivamente pela primeira vez em 2019. No entanto, os analistas de malware acreditam que o Higaisa APT começou a operar em 2016, mas conseguiu evitar atrair a atenção dos especialistas na área de segurança cibernética até 2019. O Higaisa APT parece utilizar ambos ferramentas de hackers personalizadas, bem como ameaças populares publicamente disponíveis, tais como o PlugX RAT (Trojan de Acesso Remoto) e o Gh0st RAT .

O grupo de hackers Higaisa costuma confiar principalmente em campanhas de spear-phishing para distribuir malware. Segundo os pesquisadores de segurança, em uma das operações mais recentes do Higaisa APT, o vetor de infecção utilizado era arquivos .LNK maliciosos. Os arquivos .LNK de sua campanha mais recente foram mascarados como arquivos inofensivos, como resultados de exames, currículos, ofertas de emprego, etc. No início deste ano, o grupo de hackers Higaisa usou e-mails com o tema COVID-19 para propagar arquivos .LNK corrompidos para os seus alvos.

Se o usuário for enganado pelo Higaisa APT e abrir o arquivo corrompido, ele poderá não perceber nada fora do comum. Isso ocorre porque esse grupo de hackers usa arquivos fraudulentos que manterão a atenção do usuário e impedirão que ele observe que seu sistema foi violado. O arquivo malicioso .LNK possui uma lista de comandos que serão executados silenciosamente em segundo plano. A lista de comandos permitirá que a ameaça:

• Plante seus arquivos no diretório% APPDATA% no host comprometido.
• Descriptografe e descompacte os dados do arquivo LNK.
• Plante um arquivo JavaScript na pasta 'Downloads' do sistema infectado e execute-o.

Em seguida, o arquivo JavaScript garantirá que ele execute um conjunto de comandos, o que permite aos invasores obter dados sobre o host infectado e suas configurações de rede. Em seguida, um dos arquivos que foram descompactados do arquivo malicioso .LNK será executado. O arquivo JavaScript em questão também garantiria que a ameaça ganhasse persistência no host, para que fosse executada após a reinicialização.

Para proteger o seu sistema contra ataques cibernéticos, é recomendável investir em um aplicativo anti-vírus moderno e respeitável.