Em uma ação estratégica, o Grupo de Inteligência de Ameaças da Google (GTIG) e a Mandiant uniram forças para neutralizar uma sofisticada campanha de espionagem global. Atribuída ao grupo de hackers chineses UNC2814, a operação utilizava APIs de serviços SaaS — especificamente do Google Planilhas — para camuflar o tráfego de dados maliciosos.
Desde 2023, o grupo já comprometeu 53 empresas em 42 países, focando em setores de telecomunicações e redes governamentais, com o Brasil figurando entre os alvos principais.
A Anatomia do Ataque: O Malware GRIDTIDE
Embora o método inicial de entrada ainda esteja sob investigação, sabe-se que o grupo utiliza uma nova backdoor escrita em linguagem C, apelidada de GRIDTIDE. O funcionamento ocorre da seguinte forma:
- Camuflagem em Nuvem: O malware se autentica em uma conta Google usando uma chave privada integrada. Ele limpa uma planilha (colunas A a Z e linhas 1 a 1000) para usá-la como “painel de controle”.
- Comando e Controle (C2): A célula A1 é usada para receber instruções constantes dos hackers, enquanto a célula V1 armazena dados coletados da vítima, como IP, localização, sistema operacional e nome de usuário.
- Execução Silenciosa: O sistema utiliza codificação Base64 para escrever resultados e extrair arquivos. Como o tráfego é direcionado aos servidores oficiais do Google, ele passa despercebido por ferramentas de monitoramento de rede comuns.
Resposta e Mitigação
Para interromper a espionagem, a Google e a Mandiant tomaram as seguintes providências:
- Derrubada da Infraestrutura: Todos os projetos controlados pelo grupo UNC2814 foram encerrados.
- Revogação de Acessos: O acesso do grupo às APIs do Google Planilhas foi desabilitado permanentemente.
- Suporte às Vítimas: As organizações afetadas foram notificadas e receberam indicadores técnicos para identificar e remover infecções em seus aparelhos.
