# C0017 - APT41 contra Governos Estaduais dos EUA
> [!danger] C0017 - APT41 Compromete 6 Governos Estaduais dos EUA em 9 Meses
> **Período:** Maio 2021 - Fevereiro 2022 | **Ator:** [[g0096-apt41|APT41]] (nexo China, dupla espionagem/crime)
> **Alvos:** Pelo menos 6 redes de governos estaduais nos EUA
> **Técnicas-chave:** Exploits de apps web, web shells, exfiltração de PII
## Visão Geral
C0017 foi uma campanha do [[g0096-apt41|APT41]] conduzida entre maio de 2021 e fevereiro de 2022 que resultou no comprometimento confirmado de pelo menos seis redes de governos estaduais dos EUA. A campanha se destaca pela adaptabilidade do [[g0096-apt41|APT41]]: o grupo explorou tanto vulnerabilidades públicamente divulgadas quanto zero-days para obter acesso inicial, e em pelo menos dois casos **recomprometeu as vitimas após os esforcos de remediacao** - indicando conhecimento profundo dos ambientes-alvo e persistência operacional excepcional.
O [[g0096-apt41|APT41]] obteve acesso inicial principalmente via exploração de aplicações web voltadas para a internet com vulnerabilidades conhecidas (T1190). Após o acesso, o grupo implantou web shells (T1505.003) para persistência e usou [[s1051-keyplug|KEYPLUG]] (implant multiplataforma Go/C++) e [[s1052-deadeye|DEADEYE]] (dropper) em conjunto com [[s0154-cobalt-strike|Cobalt Strike]] para C2. O [[mimikatz|Mimikatz]] foi utilizado para dump do SAM (T1003.002) e lateral movement. O objetivo primario foi a exfiltração de PII (Informacoes de Identificação Pessoal) de cidadaos americanos registrados nos sistemas estaduais.
O período sem detecção de 9 meses e a capacidade de recompromisso demonstram a maturidade operacional do [[g0096-apt41|APT41]] - um dos grupos mais prolíficos rastreados, com atividades tanto de espionagem estatal (nexo MSS China) quanto de crime cibernetico lucrativo.
## Attack Flow
```mermaid
graph TB
A["🌐 Acesso Inicial<br/>T1190 - Exploits em apps web<br/>governamentais expostas"] --> B["🐚 Persistência<br/>T1505.003 - Web shells<br/>implantados em servidores"]
B --> C["🔧 Ferramentas<br/>KEYPLUG + DEADEYE + Cobalt Strike<br/>implantados para C2"]
C --> D["🔍 Reconhecimento Interno<br/>T1033 - System info<br/>T1016 - Network config"]
D --> E["🔑 Credenciais<br/>Mimikatz SAM dump<br/>T1003.002 - Credential harvesting"]
E --> F["📦 Staging<br/>T1074.001 - PII coletada<br/>e preparada para exfiltração"]
F --> G["📡 Exfiltração<br/>T1041 + T1048.003<br/>Via C2 e protocolo nao-criptografado"]
G --> H["🔄 Recompromisso<br/>Pelo menos 2 vitimas<br/>recomprometidas pos-remediacao"]
```
## Timeline da Campanha
```mermaid
timeline
title C0017 - Comprometimento de Governos Estaduais
Mai 2021 : APT41 inicia campanha contra governos estaduais
: Exploração de aplicações web vulneraveis
Jun-Set 2021 : Comprometimento progressivo de multiplas redes
: Implantação de KEYPLUG e DEADEYE
Out-Nov 2021 : Exfiltração de PII de bases de dados governamentais
: Uso de Mimikatz para credenciais adicionais
Dez 2021 : Primeiros esforcos de remediacao por parte das vitimas
Ján 2022 : APT41 recompromete pelo menos 2 vitimas após remediacao
Fev 2022 : Mandiant identifica e documenta a campanha completa
: CISA e FBI notificados dos comprometimentos
```
## Técnicas Utilizadas
| Técnica | ID | Uso na Campanha |
|---------|-----|-----------------|
| Exploit Public-Facing App | [[t1190-exploit-public-facing-application\|T1190]] | Exploração de apps web governamentais - zero-days e CVEs públicos |
| Web Shell | [[t1505-003-web-shell\|T1505.003]] | Web shells implantados para persistência pos-acesso inicial |
| Software Packing | [[t1027-002-software-packing\|T1027.002]] | KEYPLUG e DEADEYE empacotados para evadir AV |
| Masquerade Task/Service | [[t1036-004-masquerade-task-or-service\|T1036.004]] | Processos maliciosos mascarados como servicos legitimos do Windows |
| Scheduled Task | [[t1053-005-scheduled-task\|T1053.005]] | Tarefas agendadas para persistência |
| System Owner Discovery | [[t1033-system-owneruser-discovery\|T1033]] | Enumeracao de usuarios e proprietarios do sistema |
| Network Config Discovery | [[t1016-system-network-configuration-discovery\|T1016]] | Mapeamento de configuração de rede dos alvos |
| Security Account Manager | [[t1003-002-security-account-manager\|T1003.002]] | Mimikatz para dump de hashes do SAM |
| Deobfuscaté/Decode | [[t1140-deobfuscatedecode-files-or-information\|T1140]] | Decodificacao de payloads em múltiplos estagios |
| Exfiltration Over C2 | [[t1041-exfiltration-over-c2-channel\|T1041]] | PII exfiltrada via canal C2 criptografado |
| Exfiltration Non-C2 | [[t1048-003-exfiltration-over-unencrypted-non-c2-protocol\|T1048.003]] | Exfiltração adicional via protocolo nao criptografado |
| Local Data Staging | [[t1074-001-local-data-staging\|T1074.001]] | PII preparada localmente antes da exfiltração |
## Software Utilizado
- [[s0154-cobalt-strike|Cobalt Strike]] - Framework de C2 para pos-exploração e lateral movement
- [[s1051-keyplug|KEYPLUG]] - Implant multiplataforma Go/C++ exclusivo do APT41 para C2 persistente
- [[s1052-deadeye|DEADEYE]] - Dropper do APT41 para entrega de payloads adicionais
- [[mimikatz|Mimikatz]] - Ferramenta de dump de credenciais (SAM e lsass)
- dsquery - Ferramenta de consulta ao Active Directory
- Ping - Descoberta de hosts ativos na rede
## Relevância LATAM/Brasil
- O [[g0096-apt41|APT41]] tem interesse documentado em governos de múltiplas jurisdicoes e pode direcionar ataques similares a secretarias estaduais brasileiras com sistemas de gestao de dados de cidadaos
- Secretarias estaduais de saúde, fazenda e administracao pública no Brasil (com bases de dados de PII de milhões de cidadaos) sao alvos de interesse comparavel
- A técnica de recompromisso após remediacao e um sinal de alerta critico: organizacoes brasileiras que sofreram incidentes devem verificar a completude da remediacao com análise forense especializada - parcheamento de vulnerabilidade **nao** e suficiente se web shells persistentes nao forem identificados e removidos
- O APT41 combina espionagem estatal e crime financeiro - organizacoes brasileiras no setor de tecnologia e gaming também sao alvos potenciais para o componente criminal do grupo
## Metricas do Comprometimento
| Metrica | Dado |
|---------|------|
| Governos estaduais comprometidos | Pelo menos 6 confirmados |
| Período sem detecção | Maio 2021 a Fevereiro 2022 (9 meses) |
| Dados exfiltrados | PII de cidadaos americanos |
| Recompromisso documentado | Pelo menos 2 vitimas após remediacao |
## Mitigacoes Recomendadas
- Aplicar patches imediatamente em aplicações web expostas; priorizar CVEs CISA KEV
- Implementar WAF com regras específicas para prevenção de web shell
- Após qualquer incidente, realizar análise forense completa antes de declarar remediacao
- Monitorar comúnicacoes de saida incomuns de servidores web (C2 sobre HTTPS)
- Segmentar servidores web da rede interna e restringir acesso a bases de dados de PII
## Referências
- [MITRE ATT&CK - C0017](https://attack.mitre.org/campaigns/C0017)
- [Mandiant - APT41 State Government Compromises](https://www.mandiant.com/resources/blog/)