Uma campanha cibercriminosa direcionada a organiza\u00e7\u00f5es da Mal\u00e1sia utilizou um endpoint de armazenamento hospedado pela Cloudflare para exfiltrar arquivos de redes comprometidas, sem acionar alertas de ferramentas tradicionais de monitoramento.<\/p>\n
O grupo envolvido atuou de forma coordenada, com ferramentas pr\u00f3prias e scripts customizados para cada ambiente invadido, sugerindo autoria organizada e planejamento pr\u00e9vio. A exfiltra\u00e7\u00e3o ocorreu via um servi\u00e7o confi\u00e1vel, dificultando a detec\u00e7\u00e3o.<\/p>\n
Os alvos incluem v\u00e1rias entidades governamentais malaias e, ao menos, uma empresa do setor privado. A t\u00e9cnica empregada usa servi\u00e7os de nuvem leg\u00edtimos para disfar\u00e7ar a comunica\u00e7\u00e3o externa e evitar bloqueios simples.<\/p>\n
Os invasores n\u00e3o enviaram dados direto a destinos desconhecidos. Em vez disso, encaminhavam arquivos roubados para um endpoint de armazenamento sob controle deles e hospedado na infraestrutura da Cloudflare, reduzindo a visibilidade do tr\u00e1fego.<\/p>\n
Essa abordagem diminui a chance de sinaliza\u00e7\u00e3o quando tr\u00e1fegos para provedores de nuvem s\u00e3o vistos como atividade comum, especialmente em ambientes que n\u00e3o inspecionam sa\u00eddas para dom\u00ednios confi\u00e1veis.<\/p>\n
Foram comprometidas credenciais de controladores de dom\u00ednio, incluindo as hives SAM, SECURITY e SYSTEM, bem como um dump NTDS com hashes do Active Directory. Webshells ativos foram encontrados em pelo menos um servidor governamental.<\/p>\n
A infraestrutura de apoio estava hospedada em uma m\u00e1quina virtual da Microsoft Azure, na regi\u00e3o Malaysia West. O conjunto de artefatos deixados pelos invasores permite reconstruir parte da cadeia de intrus\u00e3o utilizada contra as v\u00edtimas.<\/p>\n","protected":false},"excerpt":{"rendered":"