Dragon Weave: a ciberespionagem que oculta seu comando e controle no Azure Blob através de DLL side-loading e cargas em Rust e Go

Um novo operacional de ciber-espionagem batizado por pesquisadores como Operation Dragon Weave Ela colocou táticas cada vez mais sofisticadas para comprometer objetivos na esfera pública e privada, com relatos centrados na República Checa e em Taiwan. Os atacantes combinaram engenharia social dirigida com cadeias de execução em várias etapas e serviços na nuvem legítimos para ocultar a comunicação de comando e controle, o que complica a detecção pelos controles tradicionais.

O vetor inicial descrito consiste em e-mails de spear-phishing que contêm arquivos ZIP com vários componentes que parecem ser benignos. Entre esses artefatos há acessos diretos do Windows (.LNK) disfarçados de documentos PDF que, ao abrir, lançam scripts do PowerShell para chegar a um executável intermediário; em outros casos o ZIP contém um binário auto-suficiente escrito em Rust que atua como dropper. Ambas as rotas convergem na execução de um binário chamado "RuntimeBroker_update.exe", que utiliza DLL side‐loading para carregar um DLL maliciosa e implantar um loader em Rust (denominado RUSTCLOAK) que finalmente decifra e executa um agente de controle remoto conhecido como AZUREVEIL.

O elemento que torna particularmente preocupante o AZUREVEIL é o seu modelo de comunicação: em vez de se contatar diretamente com servidores de comando e controle, opera por um mecanismo de “dead drop” no Microsoft Azure Blob Storage, no qual o atacante e a máquina comprometida trocam informações em um recipiente de armazenamento comum. O uso de serviços em nuvem amplamente legítimos complica a identificação do tráfico malicioso, porque se mistura com milhões de chamadas legítimas à plataforma. A Microsoft documenta o funcionamento e gerenciamento do Blob Storage, que é a mesma peça de infraestrutura que esses atores estão abusando: https://learn.microsoft.com/en-us/azure/storage/blobs/storage-blobs-introduction.

Além de AZUREVEIL, os analistas identificaram atividade contemporânea de outros toolkits e backdoors ligados a grupos alinhados com a China, incluindo desenvolvimentos em Go e reutilização de frameworks open-source para criar implantes personalizados. Relatórios e análise de assinaturas de segurança como Unit 42 e ESET mostram um padrão sustentado de campanhas que misturam técnicas de living-off-the-land, modularidade na entrega e uso de infraestrutura híbridas para manter persistência e escalamento de privilégios: https://unit42.paloaltonetworks.com/ e https://www.eset.com/int/research/.

As implicações para organizações e usuários são claras: a combinação de spear-phishing com artefatos que parecem legítimos, cargas úteis em Rust/Go e o abuso de serviços na nuvem significa que os controles perimetrales tradicionais não bastam. Uma intrusão bem-sucedida pode fornecer acesso remoto total, exfiltração de dados, pivotado interno e capacidade de executar código em memória sem deixar binários persistentes óbvios, o que aumenta o risco tanto para entidades governamentais como para o setor privado crítico.

Para detectar e mitigar estas ameaças, são necessárias medidas concretas e coordenadas. Nos endpoints é imprescindível ter soluções EDR que inspectem a execução de processos filhos incomuns (por exemplo, LNK invocando PowerShell), monitorizem a carga dinâmica de DLLs e alertem sobre comportamentos típicos de loaders e ofuscação em memória. A aplicação de políticas de bloqueio de execução para arquivos .LNK, a deshabilitação de macros desnecessárias e a restrição de PowerShell em modos assinados ou com registro avançado reduz a superfície de ataque inicial.

Na camada de rede e nuvem, convém instrumentar o logging de contas e contêineres do Azure Storage, ativar diagnósticos e alertas sobre padrões anormais de acesso, e restringir permissões a contêineres através de políticas de acesso restrito e rotação de credenciais/SAS. Todas as organizações que usam serviços de armazenamento na nuvem devem auditar quem pode ler e escrever em cada contentor, porque o abuso de um recurso legítimo pode servir como canal encoberto de C2.

A preparação e resposta a incidentes deve incluir playbooks para ataques que usam dead drops na nuvem. Diante de uma suspeita de compromisso, desligar a equipe afetada da rede, preservar memória e disco para análise forense, e revisar os logs de acesso ao armazenamento na nuvem são passos críticos. Também é recomendável coordenar com os fornecedores de nuvem para bloquear contentores suspeitos e obter metadados de acesso que permitam traçar a atividade do adversário.

De uma perspectiva de governação e formação, a prevenção começa pela redução do risco humano: campanhas de sensibilização sobre spear-phishing direcionadas a pessoal com acesso a informações sensíveis, exercícios de phishing simulados e revisões periódicas de privilégios ajudam a diminuir a probabilidade de sucesso de um ataque inicial. A nível técnico, tecnologias como Application Control, bloqueio de DLL side-loading por listas administradas, e segmentação de rede limitam a habilidade do atacante para se mover lateralmente.

Finalmente, é importante que as organizações partilhem indicadores e táticas com a comunidade e fornecedores de inteligência para melhorar a detecção coletiva. As ameaças evoluem rapidamente: a reutilização de frameworks open-source e a adoção de linguagens modernas como Rust ou Go por parte de atacantes obrigam a atualizar regras de detecção e capacidades forenses. Manter-se informado por fontes de confiança e adaptar controlos em conformidade é hoje, mais do que nunca, uma necessidade operacional.