Hackers Usam Imagens para Esconder Malware, Implantar o VIP Keylogger e o 0bj3ctivity Stealer

Os cibercriminosos estão levando suas táticas de furtividade para o próximo nível ao incorporar códigos maliciosos em arquivos de imagem para distribuir malware como o VIP Keylogger e o 0bj3ctivity Stealer, de acordo com o Relatório de Insights de Ameaças da HP Wolf Security para o terceiro trimestre de 2024. Essas campanhas sofisticadas exploram plataformas confiáveis como o Archive.org para distribuir malware, ignorando os métodos tradicionais de detecção.

Como Funciona o Ataque: Malware Oculto em Imagens

As campanhas começam com um e-mail de phishing projetado para enganar as vítimas e fazê-las abrir anexos maliciosos. Esses e-mails geralmente imitam faturas ou ordens de compra para construir credibilidade. Uma vez aberto, o anexo aciona um exploit para a vulnerabilidade desatualizada do Microsoft Equation Editor (CVE-2017-11882) para baixar um arquivo VBScript.

A Cadeia de Ataque

1. E-mail de phishing : As vítimas recebem um e-mail enganoso contendo anexos maliciosos.
2. Execução do VBScript : O VBScript baixado executa um script do PowerShell.
3. Recuperação de imagem : O PowerShell baixa uma imagem do Archive.org.
4. Extração de código malicioso : A imagem contém malware codificado em Base64 que é extraído e decodificado em um executável .NET.
5. Entrega de carga útil : O carregador .NET instala a carga útil final do malware.

Na primeira campanha, esse payload é o VIP Keylogger, uma ferramenta projetada para capturar pressionamentos de tecla, conteúdo da área de transferência, capturas de tela e credenciais. Na segunda campanha, o payload é o 0bj3ctivity Stealer, um malware que rouba informações.

Kits de Malware Reduzem a Barreira para os Invasores

As similaridades entre as duas campanhas indicam que os cibercriminosos estão alavancando kits de malware. Esses kits simplificam o processo de ataque, reduzindo a expertise técnica necessária para executar cadeias de infecção complexas. Essa tendência reflete a crescente mercantilização do cibercrime, onde ferramentas pré-construídas facilitam até mesmo para invasores novatos a implantação de malware.

Técnicas Adicionais em Uso

A HP Wolf Security também identificou o contrabando de HTML como uma tática complementar. Neste método, os invasores entregam malware como o XWorm RAT usando droppers AutoIt ocultos em arquivos HTML maliciosos. Alguns desses arquivos foram supostamente gerados usando ferramentas GenAI, mostrando como a inteligência artificial está sendo usada para aprimorar a entrega e ofuscação de malware.

Campanhas do GitHub Entregam o Lumma Stealer

Outra campanha digna de nota envolveu o uso de repositórios do GitHub que se apresentavam como fontes de cheats de videogame e ferramentas de modificação. Esses repositórios distribuíam secretamente o malware Lumma Stealer por meio de droppers baseados em .NET, destacando como os invasores exploram plataformas populares para atingir usuários desavisados.

Por Que os Ataques Baseados em Imagens são Ameaçadores

Incorporar malware em imagens é uma técnica conhecida como esteganografia, que esconde código malicioso em arquivos aparentemente inócuos. Esse método ignora muitos sistemas antivírus, que são menos propensos a examinar arquivos de imagem. O uso de plataformas de hospedagem confiáveis como Archive.org complica ainda mais os esforços de detecção.

Estratégias de Mitigação para as Organizações

Para se defender contra essas ameaças em evolução, as organizações devem implementar as seguintes medidas:

1. Corrigir vulnerabilidades conhecidas : Corrigir vulnerabilidades de software desatualizadas, como CVE-2017-11882.
2. Habilitar detecção avançada de ameaças : Use soluções capazes de detectar esteganografia e comportamento suspeito de arquivos.
3. Eduque os funcionários : Treine a equipe para reconhecer e-mails de phishing e evitar abrir anexos inesperados.
4. Limitar o acesso a fontes confiáveis : Restrinja o uso de plataformas de compartilhamento de arquivos a domínios aprovados.

A Crescente Mercantilização do Cibercrime

À medida que os kits de malware se tornam mais acessíveis, invasores de todos os níveis de habilidade podem montar cadeias de infecção eficazes. A integração de ferramentas de IA na criação de malware amplifica ainda mais o desafio para os defensores da segurança cibernética, tornando os ataques mais variados e difíceis de atribuir.

As descobertas da HP Wolf Security ressaltam a urgência de se manter à frente dessas ameaças em evolução. Ao adotar estratégias de defesa proativas e monitorar táticas emergentes, as organizações podem proteger melhor suas redes contra essas campanhas sofisticadas.