Grupo ligado ao Irã utiliza DLL maliciosa para controlar sistemas Windows
Pesquisadores de segurança identificaram uma nova campanha atribuída ao Tortoiseshell, grupo associado ao Irã e conhecido por diferentes nomes, como Mirage Kitten, UNC1549 e Nimbus Manticore. A operação combina uma DLL maliciosa com túneis SSH reversos para obter acesso persistente a redes corporativas e permitir que os invasores controlem sistemas Windows comprometidos.
Ativo desde, pelo menos, 2018, o grupo tem como alvos recorrentes organizações dos setores de defesa, aeroespacial, tecnologia, serviços de TI e estruturas militares. Embora suas operações estejam concentradas principalmente no Oriente Médio e nos Estados Unidos, a infraestrutura identificada durante a investigação também apresentou conexões com Emirados Árabes Unidos, Arábia Saudita, Reino Unido, Bélgica, Canadá, Austrália e Japão.
Malware se passa por arquivo legítimo do Windows
Uma das ferramentas descobertas foi desenvolvida para se passar pelo arquivo legítimo wtsapi32.dll, uma biblioteca utilizada pelo Windows em funções relacionadas aos serviços de terminal e à comunicação com sessões remotas. A estratégia de falsificação aproveita a confiança normalmente atribuída a arquivos do sistema e pode dificultar a identificação do comprometimento por ferramentas de segurança menos avançadas.
O arquivo malicioso preserva parte do comportamento esperado da biblioteca original. Ao mesmo tempo, executa atividades ocultas em segundo plano, incluindo a abertura de uma conexão SSH reversa com os servidores controlados pelos operadores da campanha.
Esse tipo de túnel altera a dinâmica tradicional do ataque. Em vez de depender de uma conexão direta iniciada contra a máquina da vítima, o próprio computador comprometido estabelece comunicação com a infraestrutura criminosa. Isso pode ajudar o malware a atravessar firewalls e outros mecanismos que bloqueiam conexões externas não solicitadas.
Porta 443 facilita a camuflagem do tráfego
A comunicação utiliza a porta 443, normalmente associada ao tráfego HTTPS. Como essa porta é amplamente utilizada por aplicações legítimas e costuma permanecer liberada em redes corporativas, seu uso pode reduzir a possibilidade de bloqueio automático.
Por meio do túnel reverso, os invasores conseguem encaminhar tráfego de comando e controle para dentro da rede comprometida. Na prática, isso transforma o sistema infectado em uma ponte para alcançar outros dispositivos e serviços internos que não ficam expostos diretamente à internet.
Esse acesso pode ser especialmente perigoso em ambientes empresariais segmentados. Mesmo quando servidores críticos estão protegidos por camadas adicionais de firewall, a presença de um único computador comprometido pode oferecer aos invasores um ponto de entrada para realizar reconhecimento, roubar credenciais e avançar lateralmente.
Recursos permitem controle amplo do equipamento
O implante identificado pelos pesquisadores possui diversas funções de administração remota. Entre suas capacidades estão a execução de comandos e programas, o download de arquivos, a extração de dados e o carregamento de DLLs diretamente na memória.
A execução em memória pode dificultar a detecção, pois reduz a necessidade de gravar componentes adicionais no disco. Esse comportamento também pode permitir que o malware evite alguns mecanismos tradicionais de análise, especialmente aqueles concentrados em arquivos armazenados no sistema.
A ferramenta ainda consegue listar diretórios e coletar informações sobre o usuário e o computador infectado. Esses dados ajudam os operadores a entender o ambiente invadido, identificar contas com privilégios elevados e escolher os próximos alvos dentro da rede.
Por que a ameaça é relevante
A combinação entre falsificação de DLL, túnel SSH reverso e execução remota oferece ao Tortoiseshell uma forma flexível de manter presença em redes estratégicas. O grupo não precisa realizar todas as ações imediatamente após a invasão: pode estabelecer persistência, observar o ambiente e retornar posteriormente para executar novas etapas.
Em ataques contra empresas de defesa, tecnologia e setores militares, o objetivo pode envolver espionagem, roubo de documentos técnicos, coleta de informações sobre projetos ou acesso a sistemas operacionais críticos. Em organizações de serviços de TI, o comprometimento de um ambiente também pode criar oportunidades para atingir clientes e redes conectadas.
Como identificar sinais de comprometimento
Administradores devem observar a existência de arquivos com nomes semelhantes aos de bibliotecas legítimas, principalmente quando estiverem armazenados em diretórios incomuns. A verificação deve incluir o caminho do arquivo, a assinatura digital, o editor informado nas propriedades e a correspondência com a versão original distribuída pelo Windows.
Também é importante monitorar conexões de saída persistentes na porta 443, sobretudo quando partem de processos que normalmente não realizam comunicação externa. Padrões de tráfego incomuns, sessões SSH inesperadas e conexões mantidas por longos períodos podem indicar a criação de um túnel reverso.
Outro sinal relevante é a execução de comandos administrativos fora do padrão habitual do usuário ou do equipamento. Alterações em serviços, tarefas agendadas, chaves de inicialização e regras de firewall devem ser investigadas quando não houver justificativa operacional clara.
Medidas de proteção recomendadas
A defesa contra esse tipo de ameaça exige uma combinação de controles. A aplicação regular de atualizações, o uso de soluções de detecção e resposta em endpoints e a restrição de privilégios administrativos reduzem a superfície de ataque.
As empresas também devem adotar monitoramento de DNS, análise de tráfego criptografado quando permitido pelas políticas internas e segmentação rigorosa da rede. Equipamentos usados para atividades administrativas não devem ter acesso irrestrito a todos os servidores e sistemas corporativos.
A autenticação multifator é igualmente importante, especialmente para contas privilegiadas e acessos remotos. Embora não impeça sozinha a exploração de uma DLL maliciosa, ela pode dificultar o avanço dos invasores após o roubo de credenciais.
Resposta a um possível incidente
Ao identificar uma DLL suspeita ou um túnel reverso, a organização deve isolar o equipamento da rede sem desligá-lo imediatamente, quando a preservação de evidências for necessária. Em seguida, é recomendável coletar registros de execução, conexões de rede, processos ativos e alterações recentes no sistema.
As credenciais utilizadas na máquina comprometida devem ser redefinidas, principalmente se o dispositivo tiver acesso a sistemas internos ou privilégios elevados. Também é necessário verificar outros computadores em busca dos mesmos arquivos, endereços de comunicação, hashes e padrões de comportamento.
A investigação não deve se limitar ao ponto inicial da infecção. Como o malware permite movimentação lateral e transferência de arquivos, a equipe responsável precisa analisar servidores, contas administrativas e dispositivos que tenham se comunicado com o equipamento afetado.