Malware bancário afeta correntistas de nove instituições brasileiras | CRYPTOID
A equipe de Threat Intelligence da Tempest vem, desde dezembro de 2018, monitorando o comportamento de uma ameaça focada em fraudar correntistas de grandes bancos brasileiros.
O ataque se baseia em sobrescrever a tela da vítima com uma camada falsa na qual o fraudador solicita todos os dados necessários para executar transações fraudulentas.
Quando a vítima acessa o Internet Banking em um momento no qual o fraudador está online, este pode enviar uma tela que sobrepõe a interface original do site sob o falso pretexto de que é necessário instalar um módulo de segurança.
Nessa tela, o fraudador pode requisitar quaisquer dados necessários para a realização de uma transação fraudulenta em nome da vítima, geralmente o pagamento de boletos.
Há indícios que ligam essa ameaça a uma campanha de phishing massiva envolvendo mais de 120 mil vítimas na virada de 2018 para 2019 e que foi documentada pela Tempest.
Entretanto, diferentemente daquela campanha, esta possui mecanismos de ocultação distintos e usa um aplicativo legítimo para Windows possivelmente adulterado para carregar o malware.
O primeiro script tem origem no arquivo original, é gerado em VBScript e armazenado na pasta C:\users\public do computador da vítima.
Este componente possui duas funções: a primeira é enviar uma requisição ao servidor do fraudador para que este contabilize uma nova vítima infectada – outro "contador" deste tipo foi encontrado.
A segunda função desse script é executar outro VBScript a partir de um servidor na Internet controlado pelo fraudador. Entretanto, essa requisição só é respondida pelo servidor se for executada em um formato específico.
Ao limitar o formato de comunicação o fraudador insere mais uma camada de ocultação à ameaça, pois sua parte server só irá se comunicar com quem fizer a solicitação no formato correto.
O Windows Management Instrumentation (WMI) é uma tecnologia desenvolvida pela Microsoft disponível desde as versões 98 e NT4 do Windows.
Ela permite a execução local e remota de diversas atividades administrativas como obter e alterar informações do registro, ler o sistema de arquivos, executar arquivos, dentre outras.
O WMIC é a versão do WMI que suporta a execução de atividades via linha de comando. Já foram documentados diversos ataques que se baseiam no abuso do WMI ou do WMIC.
A ativação da ameaça se dá por meio do uso do WinGUp (Generic Updater running under Windows environment). Segundo o seu desenvolvedor, Don HO, a ferramenta foi imaginada como um módulo de atualização de seu editor de código fonte, o Notepad++.
Entretanto, em meio à sua concepção, HO percebeu que o WinGUp poderia ser usado para a atualização de qualquer aplicativo para Windows; assim ele disponibilizou a aplicação para qualquer desenvolvedor em sua página do GitHub.
O WinGUp se baseia em um arquivo XML por meio do qual o desenvolvedor insere os parâmetros necessários para a checagem da versão atual de seu sistema e determina as URLs dos servidores nos quais é possível buscar novas versões do aplicativo.
Estes servidores podem armazenar dados sobre quais computadores estão com a versão atualizada do software. Também fica a cargo do WinGUp a instalação de novos binários e a remoção de versões antigas.
Até o fechamento deste artigo, somente um dos arquivos da ameaça era apontado como malicioso por uma dentre as 69 engines do Virus Total e o painel contabilizava 2800 vítimas que são correntistas de nove instituições financeiras.
Entretanto, essa ameaça usa 10 servidores de envio de phishing que estão por trás de uma campanha que afetou mais de 120 mil vítimas no Brasil a qual foi identificada pela Tempest e noticiada pela imprensa especializada.
É frequentemente recomendado que as organizações submetam seus funcionários a treinamentos sobre como identificar mensagens maliciosas.
Programas educativos desse tipo também são úteis para proteger as pessoas no ambiente doméstico, além torná-las propagadoras das formas de proteção entre seus círculos sociais.