Um atacante de língua francesa invadiu um negócio automotivo francês, instalou um keylogger e roubou credenciais bancárias e de e-mail. Antes de seu servidor de comando e controle (C2) ficar offline, ele instalou OpenSSH e Tailscale na máquina da vítima, criando uma porta de acesso alternativa que não dependia do C2.
O atacante utilizou o Havoc (S1229), uma estrutura de C2open-source, para manter o acesso.
A instalação de Tailscale e OpenSSH permitiu ao atacante manter o acesso mesmo após o C2 ficar offline.
Detalhes Técnicos
Malware Utilizado:Havoc (S1229), uma estrutura de C2open-source para post-exploitation.
Técnicas de Acesso Persistente: Instalação de OpenSSH e Tailscale para manter acesso à máquina da vítima sem depender do C2.
Impacto: Permite ao atacante controlar a máquina da vítima mesmo após a infraestrutura de C2 ser desativada.
Recomendações
Monitorar instalações não autorizadas de Tailscale e OpenSSH.
Implementar medidas de detecção de anomalias de rede e sistema.
Utilizar soluções de segurança para detectar e bloquear malwares como o Havoc.
