Campanha de Malware Focada em Impostos: Análise de Técnicas de Phishing

Recentemente, uma nova campanha de *malware* com foco no setor de seguros e finanças foi observada, utilizando links do GitHub em mensagens de *phishing* como forma de contornar medidas de segurança e entregar o *Remcos RAT*, indicando que este método está se tornando cada vez mais atraente para os atores de ameaças.

“Nesta campanha, repositórios legítimos, como o software de declaração de impostos de código aberto UsTaxes, HMRC e InlandRevenue, foram utilizados em vez de repositórios desconhecidos e com baixo número de estrelas” – Jacob Malimban, pesquisador da Cofense.

Abuso da Infraestrutura do GitHub

Central ao encadeamento do ataque está o abuso da infraestrutura do GitHub para estocar os *payloads* maliciosos. Uma variação dessa técnica, revelada pela pesquisa da OALABS em março de 2024, envolve atores de ameaças abrindo uma *issue* em repositórios bem conhecidos e fazendo o upload de um *payload* malicioso, para depois fechar a *issue* sem salvá-la.

Isso resulta em que o malware enviado persista, mesmo que a *issue* nunca tenha sido salva, um vetor que se mostrou fértil para abuso, pois permite que os atacantes façam upload de qualquer arquivo de sua escolha sem deixar rastros, exceto pelo link para o arquivo em si.

Uso de *Malware* Loader Baseado em Lua

A técnica foi usada para enganar usuários a baixar um *loader* de malware baseado em Lua, que é capaz de estabelecer persistência em sistemas infectados e entregar *payloads* adicionais, conforme detalhado pela Morphisec esta semana.

A campanha de *phishing* detectada pela Cofense utiliza uma tática semelhante, a única diferença é que utiliza comentários do GitHub para anexar um arquivo (ou seja, o *malware*), após o qual o comentário é deletado. Assim como no caso mencionado anteriormente, o link permanece ativo e é propagado através de e-mails de *phishing*.

“Emails com links para o GitHub são eficazes em contornar a segurança do SEG porque o GitHub é tipicamente um domínio confiável.” – Jacob Malimban

Novas Táticas de *Phishing*

Este desenvolvimento surge à medida que a Barracuda Networks revelou métodos inovadores adotados por *phishers*, incluindo QR codes baseados em ASCII e Unicode e URLs blob como forma de dificultar o bloqueio de conteúdo malicioso e evitar detecções.

“Uma URI blob (também conhecida como URL blob ou URL de objeto) é usada por navegadores para representar dados binários ou objetos do tipo arquivo (chamados blobs) que são armazenados temporariamente na memória do navegador.” – Ashitosh Deshnur.

Expansão do Foco de Ataques

Além disso, novas pesquisas da ESET indicam que os atores de ameaças por trás do kit de ferramentas do Telegram Telekopye expandiram seu foco além de fraudes em marketplaces online para plataformas de reservas de acomodação, como Booking.com e Airbnb, com um aumento acentuado detectado em julho de 2024.

Os ataques são caracterizados pelo uso de contas comprometidas de hotéis e prestadores de acomodação legítimos para contatar potenciais alvos, alegando supostos problemas com o pagamento da reserva e enganando-os a clicar em um link falso que os induz a inserir suas informações financeiras.

“Usando seu acesso a essas contas, os golpistas focam em usuários que recentemente reservaram uma estadia e não pagaram ainda – ou pagaram muito recentemente – e os contatam via chat da plataforma.” – Jakub Souček e Radek Jizba

Isso torna o golpe muito mais difícil de detectar, uma vez que as informações fornecidas são pessoalmente relevantes para as vítimas e chegam pelo canal de comunicação esperado, sendo que os sites falsos vinculados parecem autênticos.

Conclusão

A diversificação do foco das vítimas e as melhorias na caixa de ferramentas dos golpistas permitem que grupos de criminosos acelerem o processo de fraude usando geração automatizada de páginas de *phishing*, melhorando a comunicação com os alvos por meio de chatbots interativos e protegendo seus sites de *phishing* contra a interrupção por concorrentes. A evolução destas táticas de ataque destaca a crescente necessidade de medidas robustas de segurança cibernética e conscientização dos usuários.

#Malware #Phishing #SegurançaCibernética #Tecnologia #CyberThreats #GitHub #ESET #Fraudes #Cibercrime #SegurançaDigital

autor ref: The Hacker News
ref:https://thehackernews.com/2024/10/github-telegram-bots-and-qr-codes.html