Tropidoor Backdoor

Tropidoor é um programa ameaçador que é classificado como backdoor. Backdoors são um tipo de malware projetado para fornecer acesso não autorizado a um sistema comprometido. Algumas variantes também podem baixar e instalar software ou componentes maliciosos adicionais, aumentando a gravidade de um ataque.

A Conexão do Tropidoor com o BeaverTail e os Autores de Ameaças Norte-Coreanos

O Tropidoor foi observado em campanhas de ciberataque junto com um malware de download e outro programa prejudicial chamado BeaverTail. Este último está vinculado a agentes de ameaças norte-coreanos e tem sido usado para atingir desenvolvedores, particularmente na Coreia do Sul.

Como o Tropidoor é Entregue: Campanhas de Phishing com Tema de Recrutamento

Os cibercriminosos distribuíram o Tropidoor usando e-mails de phishing com tema de recrutamento. Essas mensagens fraudulentas personificavam ofertas de emprego da DEV Community (dev.to) e continham links para um repositório BitBucket que hospedava código malicioso. O repositório incluía o BeaverTail e o downloader que executa o Tropidoor.

Além da Comunidade DEV: O LinkedIn e Outros Vetores de Ataque

O BeaverTail foi amplamente disseminado por meio de campanhas de phishing no LinkedIn, usando ofertas de emprego falsas como isca. Embora essas campanhas tenham como alvo usuários no mundo todo, a maioria das vítimas parece estar na Coreia do Sul.

Táticas de Distribuição de Malware: Phishing, Malvertising e Muito Mais

Malware como o Tropidoor é normalmente distribuído através de:

• E-mails de phishing com anexos ou links inseguros
• Downloads drive-by de sites comprometidos
• Malvertising (anúncios inseguros que acionam downloads)
• Fontes de software não confiáveis, como sites de freeware e redes P2P
• Software pirateado e ferramentas de ativação ilegais (cracks)
• Atualizações de software falsas
• Mecanismos de autopropagação usando redes locais ou unidades USB

O Engano do BitBucket: A Tática de Phishing

Outra tentativa de phishing envolveu e-mails se passando por uma empresa chamada AutoSquare. As vítimas foram direcionadas a clonar um projeto BitBucket, que continha um pacote npm abrigando o BeaverTail e um malware de download de DLL disfarçado como car.dll. Este downloader foi executado por meio de um stealer e loader baseado em JavaScript.

Capacidades do Tropidoor: Uma Poderosa Arma Cibernética

Uma vez executado, o Tropidoor opera na memória e interage com seu servidor de Comando e Controle (C2). Isso permite que ele:

• Reúna informações do sistema (nome do dispositivo, detalhes do sistema operacional, informações de hardware)
• Gerenciar arquivos (pesquisar, excluir, baixar, coletar)
• Executar e encerrar processos
• Capturar imagens da tela
• Injetar código malicioso em processos em execução
• Carregar e executar cargas úteis na memória

Uma Ameaça em Evolução: O Futuro do Tropidoor

Os desenvolvedores de malware frequentemente aprimoram suas ferramentas, e versões futuras do Tropidoor podem introduzir novas funcionalidades. Essa evolução torna essencial que as equipes de segurança cibernética permaneçam vigilantes contra ameaças emergentes.

A Conexão com o Grupo Lazarus: Uma Tática Familiar

O Tropidoor compartilha similaridades com o LightlessCan, outro malware usado pelo Lazarus Group, uma organização de hackers afiliada à Coreia do Norte. Assim como seu antecessor, o BLINDINGCAN (também conhecido como AIRDRY ou ZetaNile), o Tropidoor implementa diretamente comandos do Windows, como schtasks, ping e reg, para se misturar à atividade legítima do sistema.

Proteja-se: Mantendo-se Seguro contra os Ataques do Tropidoor

Para diminuir o risco de infecção, os usuários devem:

• Tenha cuidado com anexos e links de e-mail
• Evite baixar software de fontes não verificadas
• Mantenha as correções de segurança e o software atualizados
• Use senhas fortes e exclusivas

• Empregue ferramentas anti-malware e de proteção de endpoint confiáveis

Ao permanecerem alertas e seguirem as melhores práticas de segurança cibernética, indivíduos e organizações podem se defender melhor contra ameaças sofisticadas como o Tropidoor.