USBCulprit

O USBCulprit é uma ameaça que foi detectada recentemente por especialistas em malware. No entanto, as evidências sugerem que o malware USBCulprit pode estar ativo desde 2014. Parece que a ameaça USBCulprit é a criação de um grupo de hackers conhecido como Cycldek. O grupo também é conhecido sob os pseudônimos Hellsing, Conimes e Goblin Panda. A maioria dos alvos do grupo Cycldek são políticos de alto escalão. O grupo de hackers Cycldek tem procurado alvos localizados no sudeste da Ásia recentemente. Os hackers Cycledek são conhecidos por usar uma ampla variedade de ferramentas - atacadistas, RATs (Trojans de Acesso Remoto), backdoors, etc. No entanto, a ferramenta de hacking mais notável no arsenal do grupo Cycldek é a ameaça USBCulprit.

A ameaça USBCulprit é um malware complexo, projetado para atingir sistemas air-gapped. Os sistemas chamados air-gapped não estão conectados à Internet; portanto, se infiltrar neles exige muita habilidade e esforço. A ameaça USBCulprit não estabelece uma conexão com um servidor de C&C (Comando & Control) e não faz esforços para conectar-se à Internet quando estiver ativa. No entanto, depois de comprometer um sistema visado, o USBCulprit examinará seu conteúdo em busca de tipos de arquivos específicos. Os arquivos que atendem aos critérios da ameaça serão copiados e armazenados em uma pasta secreta. O malware USBCulprit também é capaz de determinar se há um pendrive conectado ao dispositivo violado. Se o USBCulprit detectar um dispositivo de armazenamento USB conectado ao sistema, ele se copiará juntamente com todos os arquivos que obteve do host.

Os sistemas air-gapped que foram violados pela ameaça USBCulprit podem ter sido infectados por:

• Um dispositivo USB comprometido que carregava a carga útil do malware USBCulprit.
• Um funcionário corrupto ou outro indivíduo que injetou a carga útil do USBCulprit no host manualmente.

Quando a ameaça USBCulprit comprometer um sistema por meio de um dispositivo USB infectado, ela procurará a presença de um arquivo chamado '1.txt' em um diretório específico no host de destino. Se esse arquivo específico existir no diretório certo, a ameaça USBCulprit continuará com o ataque, copiando todos os arquivos coletados anteriormente no disco rígido do sistema. Esse recurso parece muito aleatório, mas se os criadores colocarem lá, eles deverão ter um motivo válido para confiar nele. Um dos cenários plausíveis é que os sistemas que tiveram esse arquivo plantado neles são utilizáveis para a exfiltração de dados - dessa forma, o USBCulprit pode reconhecê-los e deixar os dados coletados.

Os sistemas air-gapped são considerados muito seguros, e violá-los geralmente requer malware complexo de alto nível, como a ameaça USBCulprit. No entanto, isso não impede que os cibercriminosos se esforcem para se infiltrar nos sistemas air-gapped, pois são considerados alvos de alto valor.