A distribuidora CLM alerta para malware Geacon, em ataques contra dispositivos rodando o Apple MacOS. Muito utilizado por Red Teams de empresas de segurança e SOCs, o Cobalt, plataforma de simulação de ataques, já vinha sendo usado com frequência por ciberatacantes contra plataformas Windows.
De acordo com Pedro Diógenes, CTO da CLM, nos últimos meses, a SentinelOne, especializada em tecnologias de cibersegurança baseada em IA que abrange desde prevenção, detecção, resposta e caça aos ataques, observou diversos payloads do Geacon no VirusTotal, serviço online gratuito que analisa arquivos e URLs para identificar conteúdo malicioso detectável por antivírus e scanners em sites.
O que é o Geacon?
Geacon é um projeto que apareceu há quatro anos no Github como a implementação Go do Cobalt Strike Beacon. Apesar de ser amplamente difundido, até recentemente, a SentinelOne não tinha observado sua implantação contra alvos Apple rodando o MacOS. Ao analisar os payloads no VirusTotal, parece que o que mudou foi a popularidade dos dois forks do Geacon, criados por um desenvolvedor chinês anônimo que se identifica como "z3ratu1".
Em uma postagem no blog popping candy, no fim de outubro de 2022, z3ratu1 afirma que "um dia fui fazer compras e vi esse projeto do geacon, então surgiu esse projeto experimental e seu guia de desenvolvimento". O primeiro payload do Mach-O Geacon foi submetido ao VirusTotal não muito tempo depois, em 10 de novembro do ano passado.
Em abril deste ano, os projetos públicos geacon_plus e os privados (possivelmente à venda) geacon_pro, desenvolvidos pelo z3ratu1, "ganharam quase 1k de estrelas" e foram incluídos no projeto 404 Starlink, um repositório público de Red Teams de código aberto e de ferramentas de penetração mantidas pelo Laboratório Zhizhi Chuangyu. No mesmo mês, dois payloads Geacon diferentes foram enviados ao VirusTotal que chamaram a atenção da SentinelOne. Um deles em particular tinha marcas de uma campanha genuinamente maliciosa.
Para não correr riscos, o executivo da CLM, esclarece que existem soluções de simulação de violação e ataque (BAS – Breach and Attack Simulation) pioneiras no mundo, que ajudam as empresas a melhorarem sua resiliência cibernética.
"A simulação inverte a dinâmica do zero day a favor da organização, o zero trust, permitindo-as serem proativas na prevenção. O Picus Complete Security Control Validation, por exemplo, mostra como um cibercriminoso poderia roubar dados confidenciais de uma empresa e monitorar, em tempo real e de forma contínua, se os sistemas estão configurados corretamente, o que permite correções e aprimoramentos. Além de analisar a configuração dos dispositivos de segurança e de outros ativos da rede", conclui.
