Hackers desconhecidos acessaram a caixa de email do Outlook de um executivo sênior de uma importante bolsa de valores global por pelo menos cinco meses. Durante esse período, eles copiaram o conteúdo da caixa de entrada em pequenos lotes, roteando-o através do Dropbox e do OneDrive para misturar o tráfego com atividades normais na nuvem. Essa campanha, reportada pelas equipes Threat Hunter da Symantec e Carbon Black, aponta para espionagem, e não para um ganho financeiro.
Detalhes Técnicos
Acesso não autorizado: A caixa de email do Outlook de um executivo sênior foi acessada por hackers por pelo menos cinco meses.
Método de exfiltração: Os hackers copiaram o conteúdo da caixa de entrada em pequenos lotes e o rotearam através do Dropbox e do OneDrive.
Objetivo: A campanha parece visar espionagem, dado que não há indícios de ganho financeiro.
Ferramentas: A campanha pode estar relacionada ao uso de backdoors sofisticados, como o Carbon (S0335), usado por grupos como Turla (G0010) para roubo de informações sensíveis.
Recomendações
Verificar a segurança das contas de email e a autenticação de dois fatores.
Monitorar atividades suspeitas em contas de executivo.
Implementar soluções de Threat Intelligence para detectar backdoors como o Carbon.
Utilizar sandbox para análise de anexos e links suspeitos.
