O grupo usa esta ferramenta única há já vários anos e os especialistas da ESET descobriram que o número de afetados é bastante maior do que se pensava anteriormente.

Entre as vítimas encontra-se o ministério dos negócios estrangeiros na Alemanha, que veio a público em março deste ano reconhecer a falha de segurança. O acesso não autorizado à sua rede pelo grupo deu-se precisamente um ano antes, já depois do Turla comprometer também a rede do colégio federal de administração pública daquele país.

A investigação da ESET determinou que, além do ministério alemão, o grupo fez-se valer da mesma backdoor para abrir um canal de acesso a outros departamentos exteriores em mais dois países europeus, bem como à rede de uma empresa na área da defesa. Estas organizações são as mais recentes vítimas do grupo Turla, que tem como alvo governos, oficiais de estado, diplomatas e autoridades militares desde pelo menos 2008.

De acordo com a ESET, a backdoor foi crescendo em funcionalidades ao longo dos anos, possuindo atualmente um nível raro de furtividade e resiliência. A versão mais recentemente descoberta, desde abril de 2018, inclui a capacidade de executar scripts PowerShell diretamente na memória do computador.

As mais recentes iterações da backdoor têm como alvo o Microsoft Outlook, subvertendo a Messaging Application Programming Interface (MAPI) do software para aceder às contas de email dos afetados. A backdoor é operada através de mensagens de email, mais especificamente através de ficheiros PDF anexados nos emails. Os sistemas comprometidos podem ser instruídos a levar a cabo uma série de comandos automaticamente, incluindo recolha de dados, download de ficheiros e execução de programas e comandos adicionais.

O malware esforça-se por conseguir penetrar o sistema de maneira secreta. Por exemplo, apesar de ser possível, durante alguns segundos, vislumbrar uma mensagem de email na contagem de emails não lidos, nenhum email pelo invasor é exibido na caixa de correio. Da mesma forma, o malware também bloqueia todas as notificações de mensagens de email recebidas enviadas pelos seus operadores.

Para mais informações, visite o artigo completo no WeLiveSecurity ou consulte o whitepaper com toda a investigação (em inglês).