Uma operadora de telecomunicações da Europa foi alvo, na primeira semana de julho de 2025, de um ataque atribuído ao grupo de espionagem cibernética Salt Typhoon, apontado por especialistas como ligado à China.
De acordo com a empresa de segurança Darktrace, os invasores aproveitaram uma vulnerabilidade em um appliance Citrix NetScaler Gateway para obter acesso inicial ao ambiente da vítima. A partir desse ponto, o grupo avançou para hosts Citrix Virtual Delivery Agent (VDA) dentro da sub-rede Machine Creation Services (MCS) e recorreu ao SoftEther VPN para mascarar a origem do tráfego.
Malware Snappybee entregue por DLL side-loading
Durante a ofensiva, os atacantes implantaram o Snappybee — também conhecido como Deed RAT — considerado sucessor do ShadowPad (PoisonPlug) e já usado em campanhas anteriores do Salt Typhoon. O carregamento do código malicioso ocorreu por meio de DLL side-loading, técnica na qual bibliotecas maliciosas são executadas em conjunto com arquivos legítimos.
Nesse caso, o backdoor foi distribuído junto de executáveis autênticos de antivírus como Norton Antivirus, Bkav Antivirus e IObit Malware Fighter. Uma vez ativo, o Snappybee tentava se comunicar com o servidor externo “aar.gandhibludtric[.]com” via HTTP e por um protocolo TCP não identificado.
Histórico do Salt Typhoon
Ativo desde 2019 e também chamado de Earth Estries, FamousSparrow, GhostEmperor e UNC5807, o Salt Typhoon ganhou notoriedade por explorar falhas em dispositivos de borda, manter persistência prolongada e exfiltrar dados sensíveis. Segundo a Darktrace, suas operações já afetaram organizações de telecomunicações, redes de energia e sistemas governamentais em mais de 80 países na América do Norte, Europa, Oriente Médio e África.
Imagem: Internet
Na tentativa recente contra a operadora europeia, a atividade foi detectada e contida antes de causar danos maiores, informou a Darktrace. “O Salt Typhoon continua desafiando os defensores com sua furtividade, persistência e uso indevido de ferramentas legítimas”, apontou a empresa, acrescentando que táticas em constante evolução dificultam a detecção por métodos convencionais.
Com informações de The Hacker News
