Vírus criado pelos Estados Unidos é descoberto após 20 anos de sabotagem

Pesquisadores da SentinelOne identificaram um vírus de sabotagem baseado em Lua, desenvolvido anos antes do famoso Stuxnet e projetado para manipular softwares de cálculo de alta precisão como o LS-DYNA, usado por instituições iranianas de engenharia civil e processos industriais. O malware, batizado de Fast16, foi identificado em um ataque datado de 2005 e aparece referenciado no vazamento de ferramentas ofensivas da Agência de Segurança Nacional dos Estados Unidos (NSA), feito pelo grupo ShadowBrokers. Esse é o mesmo vazamento que expôs parte do arsenal cibernético dos Estados Unidos. A SentinelLabs estava rastreando os primeiros usos da linguagem Lua em malware para Windows quando encontrou o arquivo svcmgmt. exe. Ele é um binário de serviço com uma máquina virtual Lua 5.0 embutida que referenciava o driver de kernel fast16. sys. É basicamente um programa disfarçado de serviço do Windows que carregava dentro de si um interpretador completo da linguagem Lua.

Há evidências, segundo a empresa, de que o Fast16 pode ter sido desenvolvido pelos próprios americanos, assim como o Stuxnet. O Stuxnet é um worm, basicamente um malware que se replica automaticamente entre máquinas, que ficou mundialmente conhecido em 2010 após ser descoberto em ataques contra instalações nucleares iranianas. Um framework modular pensado para durarO componente central do Fast16 é o próprio svcmgmt. exe, que funciona como um módulo-carregador. Dependendo dos argumentos de linha de comando, ele pode rodar como serviço, executar código Lua ou interpretar um nome de arquivo para disparar dois comandos distintos. O binário contém três payloads internos. O primeiro é o código Lua, responsável por configuração, propagação e coordenação.

O segundo é uma DLL auxiliar. O terceiro é o driver de kernel. Ao separar um wrapper de execução relativamente estável de payloads criptografados e específicos para cada tarefa, os desenvolvedores criaram um framework reutilizável e compartimentado, capaz de se adaptar a diferentes ambientes e objetivos operacionais sem alterar o binário externo entre campanhas, segundo a análise da SentinelLabs. Propagação com cautelaPara se mover entre máquinas, o Fast16 explorava senhas padrão ou fracas em compartilhamentos de rede no Windows 2000 e XP, usando APIs padrão do sistema.