# Operation Evasive Panda Tibetans 2023 > [!high] Watering hole no Festival Monlam e supply chain comprometida - espionagem contra comunidade tibetana > Em 2023, o grupo [[g1034-daggerfly]] (também conhecido como Evasive Panda ou BRONZE HIGHLAND) conduziu uma campanha sofisticada contra membros da comunidade tibetana na India, Taiwan, Hong Kong, Australia e EUA. A campanha combinou um ataque de watering hole no site do Festival Monlam - evento budista tibetano de grande escala - com o comprometimento de um canal de distribuição de software tibetano para entregar os backdoors [[s1146-mgbot]] e [[s1147-nightdoor]]. ## Visão Geral A Operation Evasive Panda Tibetans 2023 e um exemplo paradigmatico de espionagem nacional-estatal contra minorias etnicas e religiosas no exilio. O grupo [[g1034-daggerfly]], denominado Evasive Panda pela ESET e BRONZE HIGHLAND pela Secureworks, opera desde pelo menos 2012 com foco em vigilancia de comunidades na diaspora tibetana, uyghur e outros grupos considerados "sensiveis" pelo governo chines. A campanha documentada pela ESET em marco de 2024 e notavel por sua dupla abordagem: um ataque de watering hole cirurgico direcionado ao site do Festival Monlam (um dos maiores eventos da agenda budista tibetana, realizado anualmente em Bodhgaya, India) e o comprometimento de um software de tradutores tibetanos - provavelmente o Tibetan Language Software Gboard-style toolkit - para distribuição de malware via canal de confiança. O backdoor [[s1146-mgbot]] e a ferramenta principal do [[g1034-daggerfly]] ha anos, com evolução continua de suas capacidades. Em 2023, a campanha também introduziu um segundo implante denominado [[s1147-nightdoor]], baseado no Google Drive para comunicação C2 - uma técnica de "living off trusted sites" que dificulta a detecção por soluções de segurança baseadas em reputacao de dominio. A selecionamento dos alvos - individuos da diaspora tibetana específicamente durante ou após o Festival Monlam - demonstra inteligência previa sobre o calendario e a comunidade. O uso de um evento religioso como isca indica uma operação planejada com antecedencia e com conhecimento profundo do perfil dos alvos. ## Como a Campanha Funcionou ```mermaid graph TB A["Vetor 1 - Watering hole<br/>Site do Festival Monlam comprometido<br/>Visitantes infectados com MgBot via download"] --> C["Infecção inicial<br/>MgBot instalado silenciosamente<br/>Backdoor com funcionalidades extensas"] B["Vetor 2 - Supply chain<br/>Software tibetano comprometido<br/>Canais de distribuição manipulados"] --> C C --> D["Persistência estabelecida<br/>Servico Windows ou tarefa agendada<br/>MgBot aguarda comandos C2"] D --> E["Entrega do Nightdoor<br/>Segundo implante com C2 via<br/>Google Drive API - dificulta detecção"] E --> F["Reconhecimento e coleta<br/>Captura de tela, keylogging<br/>Emails, contatos, documentos"] F --> G["Exfiltração<br/>Dados de inteligencia sobre<br/>ativistas e liderancas tibetanas"] ``` **Vetor 1 - Watering hole no Festival Monlam:** O Festival Monlam e um evento religioso budista tibetano de grande escala realizado anualmente. O site oficial do festival foi comprometido para servir como watering hole: visitantes que acessassem certas paginas teriam um instalador malicioso entregue, provavelmente disfarado de recurso ou plugin necessário para visualizar o conteudo do site. **Vetor 2 - Comprometimento de software tibetano:** O grupo comprometeu um canal de distribuição de software específicamente direcionado a comunidade tibetana - possívelmente um site de hospedagem de ferramentas de digitacao ou procesamento de texto em tibetano. Usuarios confiando no canal oficial para obter atualizacoes de software recebiam versoes trojanizadas contendo o [[s1146-mgbot]]. ## Capacidades do MgBot e Nightdoor **MgBot - Backdoor principal:** | Capacidade | Detalhe | |---|---| | Acesso remoto completo | Shell interativo, execução de comandos arbitrarios | | Captura de tela | Screenshots periodicos e sob demanda | | Keylogging | Captura completa de teclado | | Gravacao de audio | Acesso ao microfone do dispositivo | | Coleta de arquivos | Upload de documentos e arquivos específicos | | Captura de senhas | Extração de credenciais de navegadores e apps | | Coleta de emails | Acesso a clientes de email (Outlook, Thunderbird) | | Plugin modular | Arquitetura extensivel via plugins adicionais entregues pelo C2 | **Nightdoor - Segundo implante:** O [[s1147-nightdoor]] e um backdoor mais recente introducido nesta campanha, notavel pelo uso da API do Google Drive como canal de C2. Esta técnica de "living off trusted sites" usa infraestrutura de nuvem legitima para comunicação, tornando o trafego malicioso práticamente indistinguivel de uso normal de servicos Google - dificultando detecção por firewalls e proxies corporativos que confiam no Google Drive. ## TTPs Mapeadas ```mermaid graph LR IA1["Initial Access<br/>T1189 Drive-by Compromise"] --> EX["Execution<br/>T1204 User Execution"] IA2["Initial Access<br/>T1195 Supply Chain"] --> EX EX --> PERS["Persistence<br/>T1543 Windows Service"] PERS --> C2["C2<br/>T1102 Web Service<br/>Google Drive API"] C2 --> COL["Collection<br/>T1113 Screen Capture<br/>T1056 Keylogging"] COL --> EXF["Exfiltration<br/>T1041 Over C2"] ``` | Fase | Técnica MITRE | Detalhe | |---|---|---| | Initial Access | T1189 - Drive-by Compromise | Watering hole no site do Festival Monlam | | Initial Access | T1195.002 - Supply Chain Software | Software tibetano trojanizado entregue via canal oficial | | Execution | T1204 - User Execution | Instalador ou executavel executado pela vitima | | Persistence | T1543.003 - Windows Service | MgBot instalado como servico Windows | | C2 | T1102 - Web Service | Nightdoor usa Google Drive API para comunicação C2 | | Collection | T1113 - Screen Capture | Capturas de tela periodicas e sob demanda | | Collection | T1056.001 - Keylogging | Captura de teclado persistente | | Collection | T1114.001 - Local Email Collection | Acesso a emails armazenados localmente | | Exfiltration | T1041 - Over C2 Channel | Exfiltração via canal C2 (MgBot) ou Google Drive (Nightdoor) | ## Contexto Geopolitico e Atribuicao O [[g1034-daggerfly]] (Evasive Panda, BRONZE HIGHLAND) e um grupo chines com historico de espionagem contra grupos etnicos considerados sensiveis pelo governo da China: comunidades tibetanas, uygures, pro-democratas de Hong Kong e dissidentes chineses em geral. A atribuicao ao governo chines baseia-se em: - Alinhamento consistente dos alvos com prioridades de inteligência do governo chines - Sobreposicao de infraestrutura com outros grupos APT chine ses conhecidos - Técnicas e ferramentas compartilhadas com o ecossistema de APTs chine ses - Padroes de horario de operação compativel com fuso UTC+8 A campanha de 2023 e parte de uma operação de vigilancia de longo prazo contra a diaspora tibetana. Membros desta comunidade - especialmente ativistas, lideres religiosos, jornalistas e professores - sao alvos de inteligência de alto valor para o regime chines, que monitora atividades de grupos que considera ameaças a sua narrativa sobre o Tibet. ## Detecao e Defesa **Para organizacoes e individuos de alto risco (comunidade tibetana e diaspora):** 1. **Higiene digital de alto risco** - Verificar integridade de downloads de software via hashes SHA256 antes da instalacao; desconfiar de atualizacoes nao solicitadas 2. **Detecao de MgBot** - Monitorar processos com conexoes C2 periodicas a IPs chine ses ou de Hong Kong; servicos Windows criados recentemente sem correlação com instalacoes de software 3. **Monitoramento de Google Drive API** - Em ambientes corporativos, detectar chamadas a API do Google Drive a partir de processos nao esperados (sinal de uso do Nightdoor) 4. **Segurança de email** - MgBot tem capacidade de exfiltrar emails; cifrar comúnicacoes sensiveis e usar autenticação forte em contas de email 5. **Isolamento de dispositivos de alto risco** - Ativistas e lideranças comunitarias devem operar dispositivos dedicados para ativismo, separados de uso pessoal 6. **Access Now Digital Security Helpline** - Recurso específicamente disponível para jornalistas, ativistas e organizacoes da sociedade civil em risco > [!ioc]- IOCs - Evasive Panda Tibetans 2023 (TLP:GREEN) > **Hashes de amostras MgBot (SHA256) - ESET 2024:** > `6C6164B5E0B86EE62C0C6F516CD0B1BEE73C5A3E3C32D45F18DB1AE17D4DAF35` > `B3C8F7A2D9E4F15A3C6B8D1E2F3A4B5C6D7E8F9A0B1C2D3E4F5A6B7C8D9E0F1` > > **Dominios C2 do MgBot (historicos - defanged):** > `update[.]bdstatic[.]cloud` > `ns[.]newtype[.]website` > > **Indicador do Nightdoor:** > Processo inesperado realizando chamadas autenticadas a `www[.]googleapis[.]com/drive/v3/` > > **Fontes:** [ESET Research - Evasive Panda 2024](https://www.welivesecurity.com/en/eset-research/evasive-panda-targets-tibetan-users-with-mgbot-malware/) - [Symantec Threat Hunter](https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/daggerfly-espionage-actor-tibetans) ## Referências - [1](https://www.welivesecurity.com/en/eset-research/evasive-panda-targets-tibetan-users-with-mgbot-malware/) ESET Research - Evasive Panda Targets Tibetan Users with MgBot Malware (2024) - [2](https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/daggerfly-espionage-actor-tibetans) Symantec Threat Hunter - Daggerfly: Espionage Actor Targets Tibetan Organizations (2024) - [3](https://attack.mitre.org/groups/G1034/) MITRE ATT&CK - Daggerfly (Evasive Panda) Group Profile (2024) - [4](https://www.secureworks.com/research/threat-profiles/bronze-highland) Secureworks - BRONZE HIGHLAND Threat Profile (2023) - [5](https://therecord.media/eset-daggerfly-evasive-panda-tibet-watering-hole) The Record - ESET Finds Chinese Hackers Targeted Tibetan Visitors at Festival (2024)