UDPGangster Backdoor

Uma campanha de ameaças atribuída ao grupo MuddyWater, ligado ao Irã, revelou a implantação de um backdoor recém-identificado, apelidado de UDPGangster. Ao contrário dos malwares convencionais que dependem da comunicação baseada em TCP, essa ferramenta utiliza o Protocolo de Datagrama do Usuário (UDP) como canal de comando e controle, dificultando a detecção do seu tráfego por soluções de segurança tradicionais. Uma vez ativo, o backdoor permite a manipulação remota completa de sistemas comprometidos, possibilitando a execução de comandos, o roubo de arquivos e a distribuição de malware secundário.

Direcionamento Regional e Motivos de Espionagem

Pesquisadores relatam que as vítimas foram identificadas principalmente na Turquia, em Israel e no Azerbaijão. A natureza da operação, combinada com seu foco geográfico, indica um esforço de espionagem direcionado, com o objetivo de coletar informações e obter pontos de apoio remotos em ambientes sensíveis.

Iscas de phishing e documentos maliciosos

Os atacantes dependem fortemente de spear-phishing para infiltrar redes. E-mails se passando pelo Ministério das Relações Exteriores da República Turca do Norte de Chipre foram enviados a destinatários desavisados, convidando-os falsamente para um seminário online intitulado "Eleições Presidenciais e Resultados".

Anexadas a esses e-mails estavam duas versões idênticas do documento malicioso: um arquivo ZIP chamado seminer.zip e um arquivo do Word intitulado seminer.doc. Ao ser aberto, o documento solicita ao usuário que habilite as macros, permitindo que seu payload embutido seja executado silenciosamente. Para mascarar a atividade maliciosa, a macro exibe uma imagem falsa em hebraico da provedora de telecomunicações israelense Bezeq, supostamente descrevendo interrupções de serviço planejadas para o início de novembro de 2025.

Execução de macros e entrega de carga útil

Uma vez ativadas as macros, o dropper utiliza o evento Document_Open() para decodificar automaticamente os dados Base64 armazenados em um campo de formulário oculto. O conteúdo resultante é gravado em:

C:\Users\Public\ui.txt

Em seguida, esse arquivo é executado por meio da API do Windows CreateProcessA, iniciando o backdoor UDPGangster.

Furtividade por Design: Táticas de Persistência e Anti-Análise

O UDPGangster garante sua presença no host por meio da persistência no Registro do Windows. Ele também incorpora uma ampla gama de técnicas anti-análise destinadas a frustrar ambientes virtuais, sandboxes e análises forenses. Essas técnicas incluem:

• Verificações de ambiente e virtualização
• Testando a depuração ativa

Somente após essas verificações serem concluídas, o malware começa a exfiltrar dados do sistema e a se comunicar com seu servidor externo na porta UDP 1269 em 157.20.182[.]75. Por meio desse canal, ele pode executar comandos do shell via cmd.exe, transferir arquivos, atualizar detalhes de configuração e implantar payloads subsequentes.

Capacidades operacionais e roubo de dados

Após a validação, o malware coleta metadados do sistema e os envia para o servidor C2 remoto. Sua comunicação baseada em UDP permite que os atacantes interajam com o host infectado em tempo real, instruindo-o a executar comandos, atualizar o backdoor ou instalar módulos maliciosos adicionais conforme necessário. Essa estrutura suporta tanto operações de reconhecimento quanto de espionagem de longo prazo.

Mitigação e Conscientização

Como a cadeia de infecção depende de documentos de phishing com macros habilitadas, a conscientização do usuário continua sendo uma medida de defesa crucial. Anexos suspeitos ou não solicitados, principalmente aqueles que incentivam a ativação de macros, devem ser tratados com extrema cautela. As organizações devem impor restrições de macros, implementar soluções de monitoramento comportamental e treinar os usuários para reconhecer táticas de phishing direcionadas.

Medidas de defesa recomendadas

• Restringir ou desativar macros em toda a organização.
• Implante proteção de endpoints capaz de detectar droppers baseados em macros.
• Monitore o tráfego UDP de saída incomum.
• Sinalize tentativas de comunicação para portas desconhecidas ou suspeitas.
• Capacitar os funcionários sobre indicadores específicos de phishing.

Combinando iscas enganosas, execução furtiva de macros e métodos avançados de evasão, a campanha UDPGangster da MuddyWater demonstra uma ênfase renovada no acesso secreto e na coleta de informações regionais. Manter-se vigilante contra ataques baseados em documentos é essencial para impedir que essas ameaças se estabeleçam.