Grupo de ciberespionagem usa Outlook para esconder backdoor GoGra em Linux e Windows
Um grupo de ciberespionagem ligado a um Estado-nação desenvolveu uma versão Linux do backdoor GoGra, que utiliza a Microsoft Graph API e uma caixa de entrada do Outlook para enviar comandos maliciosos a máquinas comprometidas. A descoberta, feita pela Symantec e Carbon Black Threat Hunter Team, revela uma expansão das capacidades do grupo Harvester, que agora abusa de serviços legítimos da Microsoft para camuflar suas atividades.
Mecanismo de infecção e camuflagem
O backdoor GoGra explora a infraestrutura legítima da Microsoft para se integrar ao tráfego corporativo comum. Utilizando credenciais do Azure AD inseridas diretamente no código, o malware obtém tokens OAuth2 e acessa uma pasta específica de uma caixa de entrada do Outlook via Graph API. Essa pasta, nomeada 'Zomato Pizza' em referência a um restaurante indiano, é monitorada a cada dois segundos em busca de e-mails com o assunto iniciado pela palavra 'Input'. Ao encontrar uma mensagem, o GoGra descriptografa seu conteúdo, codificado em base64 com criptografia AES-CBC, e executa os comandos diretamente no sistema via terminal Linux (/bin/bash -c). Após a execução, o malware apaga as mensagens para evitar detecção.
Técnicas de evasão e impacto
A abordagem adotada pelo GoGra é classificada como um canal de comando e controle (C2) encoberto. Ao utilizar servidores da Microsoft para transmitir instruções, o tráfego malicioso se mistura ao tráfego corporativo legítimo, dificultando a detecção por firewalls e sistemas de monitoramento. Os resultados dos comandos executados são criptografados e enviados de volta ao operador pelo mesmo canal, reforçando a discrição da operação. Essa técnica representa um desafio significativo para ferramentas de segurança, uma vez que o malware não deixa rastros evidentes após a execução dos comandos.