Uma empresa chinesa pouco conhecida pode ter ajudado a construir a rede oculta usada para apoiar operações cibernéticas ligadas ao exército em todo o mundo. Pesquisadores afirmam que a Guangdong Chanming, uma firma sem negócios óbvios voltados ao público, parece conectada a ferramentas projetadas para ocultar atividade online e mover tráfego através de múltiplos sistemas.
Descoberta e escopo
O papel alegado da empresa importa porque redes de retransmissão clandestinas podem tornar muito mais difícil para defensores identificar onde uma intrusão começou ou quem está por trás dela. Analistas da IntrusionTruth identificaram a ligação aparente após revisar registros de empresas, registros de software, patentes e documentos de aquisição militar.
A IntrusionTruth disse em um relatório compartilhado com a Cyber Security News que as evidências apontam para a Guangdong Chanming como fornecedora de tecnologia de rede anônima para clientes estatais chineses. A pesquisa não descreve um surto convencional de malware com uma lista única de vítimas, mas sim a camada de infraestrutura por trás de campanhas cibernéticas.
Vetor e exploração
A investigação centra-se em Wang Huiping, um dos acionistas listados da Guangdong Chanming. Pesquisadores vincularam um número de telefone associado a Wang a um endereço de e-mail que também estava conectado ao FCN, ou FreeConnect, um projeto de software que já foi hospedado no GitHub sob o handle "boywhp".
Embora o repositório original tenha sido removido, bifurcações permaneceram online e apontaram pesquisadores para o domínio xfconnect.com. Resultados do VirusTotal para arquivos vinculados a esse domínio incluíram amostras que pesquisadores disseram se assemelhar ao stn.exe, um arquivo descrito como parte de um produto STN Security Tunnel.
Pesquisadores também descobriram que versões Linux do FCN usaram um comando incomum para identificar uma interface de rede. A busca por esse comando distinto levou ao "bulbature", um arquivo associado ao malware WHIPWEAVE, que foi vinculado à rede clandestina RedRelay ou ORBWEAVER.
Impacto e alcance
O relatório vincula o uso do RedRelay a um cluster conhecido por muitos nomes, incluindo Red Vulture, APT15, Ke3chang, Vixen Panda, Playful Dragon e Nylon Typhoon. Ele associa ainda a atividade com a Unidade 61046 da PLA e o 8º Bureau da Força de Ciberespaço, embora tal atribuição deva ser avaliada junto com evidências independentes.
A sobreposição não estabelece por si só que todo usuário do FCN participou de operações estatais. No entanto, a IntrusionTruth argumenta que as pistas de desenvolvimento compartilhadas, descrições de patentes e registros de aquisição criam um quadro mais forte de um conjunto de ferramentas comerciais que pode ter evoluído para infraestrutura usada por atores de ameaças chineses.
Medidas de mitigação recomendadas
Organizações em risco elevado devem monitorar o tráfego de rede de saída para retransmissões não familiares, investigar binários Linux inesperados e preservar logs que possam revelar conexões de múltiplos saltos. Segmentação forte, autenticação multifator e visibilidade de rede permanecem essenciais, especialmente enquanto grupos persistentes de ameaças chinesas continuam a visar sistemas de alto valor.
O que os CISOs devem fazer imediatamente
- Monitorar tráfego de saída para conexões criptografadas incomuns.
- Investigar binários Linux não autorizados em endpoints.
- Preservar logs de rede para análise forense.
- Atualizar regras de firewall para bloquear domínios suspeitos.
Perguntas frequentes
Isso afeta empresas brasileiras? Sim, grupos de ameaças chinesas visam globalmente, incluindo infraestrutura crítica.
Como identificar essa rede? Monitorar padrões de tráfego de retransmissão e binários associados ao WHIPWEAVE.