Alerta de espionagem cibernética: OctLurk e SilkLurk atacam instituições públicas na Ásia Central e na Síria através de cargas úteis em memória

Uma nova frente na espionagem cibernética dirigida a instituições públicas na Ásia Central e na Síria foi descoberta e merece atenção imediata: pesquisadores da Kaspersky descreveram uma campanha desde janeiro de 2025 que emprega duas famílias de backdoors inéditas, batizadas como OctLurk e SilkLurk, juntamente com um 'proxy' malicioso denominado LurkProxy. Embora os autores se comuniquem em chinês e certas peças se encaixam com táticas observadas em operações prévias associadas a atores de fala chinesa, Kaspersky não associa de forma conclusiva essas intrusões com um grupo conhecido; o importante para defensores e responsáveis de TI é o conjunto de capacidades técnicas e o impacto potencial sobre ministérios, forças da ordem, saúde, educação e outros serviços públicos.

A sofisticação da campanha reside em seu design para operar majoritariamente em memória, deixando apenas um carregador mínimo em disco e recorrendo a codificações dependentes da equipe (por exemplo, número de série do disco ou nome da equipe) para esconder rotas e cargas úteis; essa estratégia dificulta a engenharia reversa e a detecção automatizada por assinaturas tradicionais. O OctLurk é injetado em memória a partir de um loader, junta informações do sistema criptografado e contacta servidores C2 como "dns.multitoconference[.]com", enquanto SilkLurk chega através de uma sequência de DLL side-loading e também recebe e injeta plugins em memória que permitem execução de comandos, exfiltração, e uso de ferramentas legítimas para empacotar dados roubados. LurkProxy, por sua vez, atua como proxy reverso em modos SOCKS5 ou transparente para encobrir tráfego saliente para endereços remotos (por exemplo, o IP relatado 154.196.162[.]76) e assim facilitar movimentos laterais e exfiltração.

O repertório técnico implantado após a intrusão é amplo e revela objetivos de espionagem e persistência: impressão do host, volcado de hashes de controladores de domínio com ferramentas como Impacket (já mencionada nos achados), implantação de keyloggers disfarçados (simulando AnyDesk), roubo de credenciais desde navegadores, uso de um agente de controle remoto chamado Pandora RC, digitalização de redes internas com Fscan e exploração de credenciais para SSH ou MySQL, bem como o uso de PlugX através de cadeias de DLL side-loading para introduzir outro backdoor conhecido no ambiente. Estas práticas se encaixam em campanhas orientadas para recolha de inteligência e acesso sustentado mais do que com operações destrutivas imediatas.

Para os responsáveis pela ciberdefesa em organizações públicas e prestadores de serviços na região, as implicações são claras: ameaça prioriza evasão e persistência, e aproveita infra-estruturas partilhadas com campanhas anteriores (por exemplo, SilentRaid/MystRodX/TrustFall), o que sugere infra-estruturas de comando e controle reutilizadas e potencial operador com experiência em campanhas multiníveis. Além disso, o desconhecimento do vetor de acesso inicial impõe a necessidade de revisar toda a cadeia de proteção, desde a higiene básica de contas até a telemetria de rede e memória.

As ações recomendadas combinam medidas imediatas e adoção de controles estratégicos. A curto prazo, é conveniente bloquear e monitorizar os indicadores observados (domínios como dns.ssentialserv[.]xyz e dns.multitoconference[.]com, e IP 154.196.162[.]76), auditar registros de DNS e egress, e colocar em quarentena sistemas com atividade suspeita. É imprescindível reforçar a proteção de controladores de domínio, aplicar segmentação de rede para limitar o movimento lateral, ativar autenticação multifator para acessos administrativos, rotar credenciais e empregar mecanismos como LAPS para credenciais locais. Em endpoints, as tecnologias EDR com visibilidade de memória e detecção de injeção de processos são críticas porque esses backdoors operam in-memory e evaden as assinaturas tradicionais.

Medidas operacionais adicionais incluem restringir a utilização de ferramentas de administração remota não justificadas, desativar ou restringir a utilização de contas com privilégios em recursos partilhados, registrar e conservar eventos de segurança (auth, PowerShell, Sysmon, DNS) para investigar post-compromissores e rever transferências de arquivos e uso de utilitários legítimos (WinRAR, 7-Zip) utilizados para empacotar exfiltração. Preparar playbooks de resposta, ensaiar contenção e recuperação, e partilhar resultados com entidades nacionais e parceiros internacionais aumentará a resiliência regional em campanhas transnacionais.

Também corresponde a uma recomendação aos provedores de cibersegurança e equipamentos de detecção: gerar regras de detecção centradas em padrões de comportamento (por exemplo, cadeias de DLL side-loading, criação de sockets TCP invulgares por processos legítimos, uso de proxies reversos e atividades de dumping de credenciais), e desenvolver assinaturas de memória/YARA adaptadas ao empacotamento e à codificação dependente do host que usam OctLurk e SilkLurk. Para compreender técnicas e mapeamentos de comportamento específicos podem ser consultados recursos de referência como MITRE ATT&CK na sua seção sobre DLL side‐loading https://attack.mitre.org/techniques/T1574/001/ e seguir as análises técnicas que publicam centros de pesquisa como Kaspersky em seu portal https://securelist.com/.

Finalmente, e talvez o mais importante, enfrentar este tipo de campanhas exige assumir que a detecção perimetral sozinha não basta: a defesa eficaz combina controle do perímetro, visibilidade contínua em endpoints e redes, controle rigoroso de privilégios e capacidade de resposta coordenada. As organizações em causa ou em risco devem contactar as suas CERT nacionais ou parceiros de resposta e considerar a troca de indicadores e táticas para conter e mitigar essas operações antes de se consolidar um acesso persistente e se produzir exfiltração maciça de informações sensíveis.