Um novo relatório da Check Point Research detalha as atividades do Silver Dragon, um grupo de hackers de origem chinesa que, desde 2024, tem como alvo principal órgãos governamentais. A estratégia central do grupo consiste em utilizar o Google Drive como um canal de comunicação furtivo, camuflando o tráfego malicioso em um serviço legítimo que raramente é bloqueado por sistemas de segurança corporativos.
Especialistas indicam, com alto índice de confiança, que o Silver Dragon opera sob a influência do APT41, um dos braços de espionagem cibernética mais notórios vinculados ao governo de Pequim.
Métodos de Invasão e Persistência
O grupo utiliza dois vetores principais para comprometer redes:
- Exploração de Servidores: Ataques a servidores expostos com vulnerabilidades conhecidas.
- Phishing Direcionado: Envio de e-mails com arquivos de atalho do Windows (** .LNK **). Ao serem abertos, esses arquivos executam uma sequência de comandos em segundo plano enquanto exibem um PDF isca para distrair a vítima.
Uma vez dentro do sistema, o Silver Dragon busca garantir sua permanência através dos carregadores BamboLoader e MonikerLoader, que executam o código malicioso diretamente na memória do computador. Para resistir a reinicializações, o grupo sequestra serviços nativos do Windows, como o Bluetooth e o Windows Update, forçando o carregamento do malware na inicialização do sistema.
O Papel do Google Drive e do Backdoor GearDoor
A ferramenta mais sofisticada identificada é o GearDoor. Este backdoor transforma o Google Drive em uma central de comando e controle (C2).
- Funcionamento: O malware cria pastas exclusivas para cada máquina infectada no Drive.
- Comunicação: A troca de instruções ocorre via upload e download de arquivos criptografados. Dependendo da extensão do arquivo (ex:
.cab,.rar,.7z), o sistema executa comandos específicos, instala novos payloads ou ativa plugins de memória. - Capacidades: A ferramenta permite a exfiltração de dados, manipulação de arquivos e execução remota de processos.
Monitoramento e Exfiltração Avançada
Além do GearDoor, o grupo utiliza utilitários complementares:
- SilverScreen: Captura telas da vítima periodicamente, salvando imagens apenas quando detecta mudanças visuais significativas para evitar detecção e economizar espaço.
- SSHcmd: Permite a transferência de arquivos e execução de comandos via protocolo SSH, frequentemente codificados em Base64 para burlar logs de segurança.
O estágio final do ataque geralmente envolve a instalação de um beacon do Cobalt Strike, ferramenta de testes de segurança amplamente subvertida por cibercriminosos.
Evidências de Origem
A atribuição do Silver Dragon à China é sustentada por provas técnicas robustas. Pesquisadores encontraram semelhanças estruturais idênticas entre os scripts do Silver Dragon e códigos do grupo APT41 documentados em 2020. Adicionalmente, os horários de compilação dos arquivos coincidem consistentemente com o fuso horário UTC+8 (China), e as versões do Cobalt Strike utilizadas possuem números de série historicamente ligados a atores de ameaças chineses.
