# MINIBUS > [!high] Backdoor Furtivo do UNC1549 Contra Defesa e Aeroespacial via Azure Cloud > MINIBUS é um backdoor modular desenvolvido pelo grupo iraniano UNC1549, implantado em campanhas de espionagem contra setores de defesa, aeroespacial e aviação no Oriente Médio, Europa e além. Usa serviços legítimos de cloud da Microsoft Azure como proxy C2 para mascarar comúnicações e evitar detecção. ## Descrição MINIBUS é um backdoor personalizado atribuído ao **[[unc1549]]** (também rastreado como Nimbus Manticore e Tortoiseshell, com nexo ao IRGC iraniano). O grupo opera desde pelo menos 2022 com foco em espionagem contra organizações dos setores de defesa, aeroespacial, aviação e tecnologia, especialmente no Oriente Médio (Israel, UAE), mas com alcance documentado na Europa e além. O MINIBUS estabelece persistência via **Registry Run Keys**, frequentemente usando o executável legítimo `FileCoAuth.exe` como vetor de DLL side-loading - uma técnica que permite ao malware ser carregado por um processo assinado e confiável pelo sistema operacional. Esta abordagem de **DLL search order hijacking** (T1574) é central no arsenal do UNC1549, que também assina seus binários com certificados legítimos obtidos para aparentar legitimidade. A comunicação C2 do MINIBUS usa **serviços legítimos da Microsoft Azure e VPSes** como proxies, gerando tráfego que se mistura com comúnicações corporativas normais com a Microsoft. O malware usa headers HTTP específicos nas requisições - indicadores detectáveis por soluções de inspeção de tráfego. O grupo também faz uso de reverse shells SSH para persistência adicional. O MINIBUS faz parte de um arsenal mais amplo do UNC1549, que inclui o **MINIBIKE** (backdoor com até 12 comandos para reconhecimento, keylogging, captura de tela, roubo de credenciais e transferência de arquivos), **GHOSTLINE**, **POLLBLEND** e **TWOSTROKE**. O Mandiant documentou um aumento significativo nas campanhas do UNC1549 em 2024, com foco em comprometimento via terceiros (supply chain de parceiros de defesa) para contornar controles de segurança maduros nas organizações alvo direto. O vetor de entrada preferêncial é **spear-phishing com iscas de ofertas de emprego** - uma técnica comum de grupos iranianos -, explorado tanto via email quanto via LinkedIn com perfis falsos de recrutadores. Isso permite que o grupo alcance funcionários de organizações de defesa com acesso privilegiado a sistemas sensíveis. ## Técnicas Utilizadas | Tática | Técnica | Descrição | |--------|---------|-----------| | Initial Access | [[t1566-phishing\|T1566]] | Spear-phishing com iscas de ofertas de emprego (LinkedIn/email) | | Initial Access | [[t1078-valid-accounts\|T1078]] | Abuso de credenciais de parceiros/terceiros comprometidos | | Execution | [[t1204-user-execution\|T1204]] | Usuário executa anexo/arquivo de isca de recrutamento | | Persistence | [[t1547-boot-or-logon-autostart-execution\|T1547]] | Registry Run Keys via FileCoAuth.exe para startup automático | | Defense Evasion | [[t1574-dll-search-order-hijacking\|T1574]] | DLL side-loading em processo assinado para evadir controles | | Command & Control | [[t1071-application-layer-protocol\|T1071]] | HTTP para Azure/VPS como proxy C2, misturado com tráfego legítimo | ## Grupos que Usam - [[unc1549]] - principal operador; grupo iraniano com nexo ao IRGC, especializado em espionagem contra defesa e aeroespacial ## Detecção 1. **Monitorar FileCoAuth.exe carregando DLLs fora do caminho padrão** - o MINIBUS usa DLL side-loading via FileCoAuth.exe. Regras de detecção que alertam para esse processo carregando DLLs de caminhos não padrão (como `%TEMP%`, `%APPDATA%` ou diretório de trabalho do usuário) são altamente eficazes. 2. **Detectar Registry Run Keys incomuns** - persistência via `HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run` por executáveis não reconhecidos deve gerar alerta. Monitorar via Sysmon Event ID 13 (Registry value set) com filtros para chaves de startup. 3. **Inspecionar tráfego HTTP com headers anômalos para Azure** - o MINIBUS usa headers HTTP específicos e não padrão nas comúnicações com proxies Azure. Soluções de inspeção de tráfego SSL/TLS podem detectar padrões de beaconing regulares mesmo para destinos legítimos como Azure. 4. **Alertar para spear-phishing com iscas de emprego em setores-alvo** - organizações de defesa, aeroespacial e tecnologia devem treinar equipes para reconhecer iscas de recrutamento não solicitadas, especialmente via LinkedIn. Simular essas iscas em exercícios de phishing aumenta a resiliência. ## Relevância LATAM/Brasil O UNC1549 foca historicamente em alvos no Oriente Médio e Israel, mas o grupo tem expandido operações para alvos europeus e de telecomúnicações globalmente. Para o Brasil e LATAM, a relevância está em dois aspectos: primeiro, organizações brasileiras com contratos ou parcerias com empresas de defesa israelenses ou americanas podem ser alvos de comprometimento via cadeia de suprimentos (o método preferido do UNC1549 para contornar defesas maduras). Segundo, o setor aeroespacial brasileiro - representado pela Embraer e pelo complexo industrial de defesa - é de interesse estratégico para atores de espionagem estatal. ## Referências - [1](https://cloud.google.com/blog/topics/threat-intelligence/analysis-of-unc1549-ttps-targeting-aerospace-defense) Google/Mandiant - UNC1549 Targets Aerospace and Defense (2024) - [2](https://cloud.google.com/blog/topics/threat-intelligence/suspected-iranian-unc1549-targets-israel-middle-east) Google TAG - UNC1549 Targets Israel and Middle East (2024) - [3](https://brandefense.io/blog/unc1549-minibus-backdoor-analysis/) BrandDefense - UNC1549 MINIBUS Backdoor Analysis - [4](https://industrialcyber.co/ransomware/mandiant-tracks-surge-in-unc1549-campaigns-hitting-aerospace-and-defense-through-third-party-access/) Industrial Cyber - Mandiant Tracks UNC1549 Surge (2024) - [5](https://attack.mitre.org/groups/G1030/) MITRE ATT&CK - UNC1549 (2024)