# TA2722 > [!warning] Ator de Phishing com Identidade Filipina - Balikbayan Foxes > TA2722, apelidado de "Balikbayan Foxes" pela Proofpoint, é um grupo de ameaça financeiramente motivado que opera campanhas de phishing em massa se passando por entidades governamentais filipinas. Distribui RATs commodity como Remcos, NanoCore e Warzone em campanhas que afetam especialmente setores de logística, manufatura e energia na América do Norte, Europa e Sudeste Asiático. ## Visão Geral **TA2722**, rastreado pela Proofpoint como "Balikbayan Foxes", é um ator de ameaça cibercriminal identificado em 2021 após uma série de campanhas de spear-phishing usando lures relacionados ao governo das Filipinas. O grupo se distingue pela personificação consistente de múltiplas agências governamentais filipinas: o Departamento de Saúde (DOH), a Administração Filipina de Emprego no Exterior (POEA), o Bureau de Alfândegas (Bureau of Customs - CPRS) e a embaixada da Arabia Saudita em Manila. A atividade rastreada pela Proofpoint indica que TA2722 está operando desde pelo menos **dezembro de 2019**, com ressurgimento de atividade em setembro de 2021 após um período de quiescência em 2020. O histórico extenso sugere um ator estabelecido e persistente, não uma operação de curto prazo. O arsenal do grupo consiste em RATs commodity ([[remcos-rat|Remcos RAT]], [[nanocore-rat|NanoCore RAT]] e [[warzone-rat|Warzone RAT]]) - ferramentas de baixo custo e alta disponibilidade que proporcionam acesso remoto completo, keylogging, captura de tela e roubo de credenciais. A escolha de RATs commodity é consistente com um ator financeiramente motivado buscando custo-benefício operacional, embora dificulte a atribuição precisa por compartilhar indicadores com outros grupos. O targeting prioritário de setores de **logística, transporte marítimo e manufatura** sugere interesse em dados comerciais e de cadeia de fornecimento - informações de alto valor econômico que podem ser revendidas ou usadas para fraude e comprometimento de e-mail corporativo (BEC). ## Attack Flow - Phishing com Lures Filipinos ```mermaid graph TB A["📧 Spear-Phishing<br/>Email fingindo ser DOH, POEA<br/>ou Bureau of Customs Filipino"] --> B["📎 Entrega de Payload<br/>OneDrive URLs com RAR<br/>PDF com links maliciosos<br/>Excel com macros"] B --> C["💥 Execução<br/>T1204.002 - Usuário abre arquivo<br/>Macro ou UUE executa RAT"] C --> D["🔧 Persistência<br/>RAT instalado em AppData<br/>Registro de execução automática"] D --> E["📡 C2 DDNS<br/>shahzad73.ddns.net<br/>shahzad73.casacam.net"] E --> F["🔑 Coleta e Exfiltração<br/>Credenciais - keylog<br/>Screenshots - dados corporativos"] ``` **Legenda:** [[remcos-rat]] · [[nanocore-rat]] · [[warzone-rat]] ## Campanhas Identificadas ### Cluster Shahzad73 (2021) Proofpoint identificou o primeiro cluster a partir do padrão de domínios C2 contendo o termo "shahzad73": - C2: `shahzad73[.]ddns[.]net` e `shahzad73[.]casacam[.]net` - Técnica: emails com attachments UUE ou RAR contendo executáveis maliciosos - Malware: [[remcos-rat|Remcos RAT]] como payload principal - Alvos: Shipping/Logistics, Manufacturing, Energy em América do Norte e Europa ### Cluster CPRS (2019-2021) O segundo cluster foi identificado pela personificação recorrente do Bureau of Customs CPRS filipino: - Temas: fatura, transporte, financeiro, COVID-19 sob DOH - Alcance: ~150 clientes globalmente afetados - Histórico: ativo desde pelo menos dezembro 2019 com múltiplas campanhas por mês ## Arsenal e Infraestrutura ```mermaid graph TB TA2722["🎭 TA2722 / Balikbayan Foxes<br/>Phishing gov. filipinas<br/>RATs commodity"] --> REMCOS["Remcos RAT<br/>RAT principal<br/>C2 via DDNS"] TA2722 --> NANO["NanoCore RAT<br/>Escrito em .NET<br/>Obfuscated com Eazfuscator"] TA2722 --> WZ["Warzone RAT<br/>C++ - porta TCP 5200<br/>Features avançadas"] REMCOS -.->|"C2"| DDNS["DDNS Domains<br/>shahzad73.ddns.net<br/>shahzad73.casacam.net"] NANO -.->|"C2"| DDNS ``` **Legenda:** [[remcos-rat]] · [[nanocore-rat]] · [[warzone-rat]] ## TTPs Mapeados ao MITRE ATT&CK | Tática | Técnica | ID | Uso | |--------|---------|-----|-----| | Initial Access | Spearphishing Attachment | [[t1566-001-spearphishing-attachment\|T1566.001]] | Emails com UUE, RAR, PDF, Excel maliciosos | | Initial Access | Spearphishing Link | [[t1566-002-spearphishing-link\|T1566.002]] | OneDrive URLs para download de payloads | | Execution | Malicious File | [[t1204-002-malicious-file\|T1204.002]] | Usuário executa arquivo de isca | | Execution | PowerShell | [[t1059-001-powershell\|T1059.001]] | Scripts PowerShell pós-comprometimento | | Defense Evasion | Obfuscated Files | [[t1027-obfuscated-files-or-information\|T1027]] | NanoCore com Eazfuscator, binários comprimidos | | C2 | Application Layer Protocol | [[t1071-application-layer-protocol\|T1071]] | RAT C2 via TCP/HTTPS | | Tool Transfer | Ingress Tool Transfer | [[t1105-ingress-tool-transfer\|T1105]] | Download de payloads adicionais pós-infecção | ## Relevância para o Brasil e LATAM > [!latam] Risco Indireto via Cadeias de Fornecimento Global > TA2722 não foca específicamente no Brasil ou LATAM, mas o targeting de setores de **logística internacional, transporte marítimo e manufatura** cria risco indireto. Empresas brasileiras com operações de importação/exportação via Filipinas ou com parceiros asiáticos que recebam comúnicações fraudulentas fingindo ser entidades alfandegárias filipinas são alvos potenciais. As técnicas - phishing com attachments Office maliciosos - são universais e os RATs distribuídos (especialmente Warzone) foram usados em campanhas globais. ## Detecção e Defesa **Indicadores de comprometimento:** - Domínios C2 com padrão de DDNS (ddns.net, casacam.net, got-game.org) - Processo `Remcos.exe` em `C:\Users\[user]\AppData\Roaming\` - Comúnicação TCP na porta 5200 (padrão Warzone RAT) - Arquivos `.uue` em emails de entidades alfandegárias/gov. filipinas - Chave de registro: `HKCU\Software\Microsoft\Windows\CurrentVersion\Run` com payload **Mitigações:** - Bloquear macros em documentos Office de origem externa via Group Policy - Implementar sandboxing de email para análise de attachments - Monitorar comúnicações DNS para domínios DDNS não autorizados - Treinar usuários para identificar lures de alfândegas/governo estrangeiros ## Referências - [Proofpoint - New Threat Actor Spoofs Philippine Government (2021)](https://www.proofpoint.com/uk/blog/threat-insight/new-threat-actor-spoofs-philippine-government-covid-19-health-data-widespread) - [IC3/FBI - Warzone RAT Disruption (2024)](https://www.ic3.gov/CSA/2024/240215.pdf) - [The Hacker News - US DoJ Dismantles Warzone RAT Infrastructure (2024)](https://thehackernews.com/2024/02/us-doj-dismantles-warzone-rat.html) - [Malpedia - TA2722](https://malpedia.caad.fkie.fraunhofer.de/actor/ta2722) **Malware distribuído:** [[remcos-rat|Remcos RAT]] · [[nanocore-rat|NanoCore RAT]] · [[warzone-rat|Warzone RAT]] **Setores alvejados:** [[transportation|transporte]] · [[manufacturing|manufatura]] · [[energy|energia]]