0 
0 Uma onda de cibercriminosos espalhando famílias de malware – incluindo QakBot, IceID, Emotet e RedLine Stealer – está mudando para arquivos de atalho (LNK) para entrega de malware por e-mail. Os atalhos estão substituindo as macros do Office – que estão começando a ser bloqueadas por padrão no Office– como uma forma de os invasores se estabelecerem nas redes, enganando os usuários para que infectem seus PCs com malware.
Acompanhando as mudanças no cenário de ameaças de e-mail
O Relatório de Insights de Ameaças do segundo trimestre de 2022 da HP Wolf Security – que fornece análise de ataques cibernéticos do mundo real – mostra um aumento de 11% nos arquivos compactados contendo malware, incluindo arquivos LNK. Os invasores geralmente colocam arquivos de atalho em anexos de e-mail ZIP, para ajudá-los a escapar dos scanners de e-mail.
A equipe também detectou construtores de malware LNK disponíveis para compra em fóruns de hackers, tornando mais fácil para os cibercriminosos mudarem para essa técnica de execução de código “sem macros”, criando arquivos de atalho armados e espalhando-os para as empresas.
“As organizações devem tomar medidas agora para se proteger contra técnicas cada vez mais favorecidas pelos invasores ou se expor à medida que se tornam difundidas. Recomendamos bloquear imediatamente os arquivos de atalho recebidos como anexos de e-mail ou baixados da Web sempre que possível”, diz Alex Holland, analista sênior de malware, equipe de pesquisa de ameaças HP Wolf Security, HP Inc.
Além do aumento nos arquivos LNK, a equipe de pesquisa de ameaças destacou as seguintes técnicas de entrega / evasão de detecção de malware empregadas pelos invasores:
Contrabando de HTML atinge massa crítica – A HP identificou várias campanhas de phishing usando e-mails que se apresentam como serviços de correio regionais ou grandes eventos como Doha Expo 2023 (que atrairá mais de 3 milhões de participantes globais) que usaram contrabando de HTML para entrega de malware. Usando essa técnica, tipos de arquivos perigosos que seriam bloqueados por gateways de e-mail podem ser contrabandeados para as organizações e levar a infecções por malware.
Os invasores exploram a janela de vulnerabilidade criada pela vulnerabilidade de dia zero Follina CVE-2022-30190 – Após sua divulgação, vários atores de ameaças exploraram a recente vulnerabilidade de dia zero na Microsoft Support Diagnostic Tool (MSDT) – apelidada de “( Follina )” – para distribuir QakBot , Agent Tesla e o Remcos RAT (Remote Access Trojan) antes de um patch estar disponível. A vulnerabilidade é particularmente perigosa porque permite que invasores executem códigos arbitrários para implantar malware e requer pouca interação do usuário para explorar as máquinas de destino.
Nova técnica de execução vê shellcode oculto em documentos espalhando malware SVCReady – a HP descobriu uma campanha distribuindo uma nova família de malware chamada SVCReady, notável pela maneira incomum como é entregue aos PCs de destino – por meio de shellcode oculto nas propriedades dos documentos do Office. O malware – projetado principalmente para baixar cargas de malware secundário para computadores infectados após coletar informações do sistema e fazer capturas de tela – ainda está em um estágio inicial de desenvolvimento, tendo sido atualizado várias vezes nos últimos meses.
Outras descobertas importantes no relatório incluem:
- 14% dos malwares de e-mail capturados pelo HP Wolf Security ignoraram pelo menos um scanner de gateway de e-mail
- Os agentes de ameaças usaram 593 famílias de malware diferentes em suas tentativas de infectar organizações, em comparação com 545 no trimestre anterior
- As planilhas continuaram sendo o principal tipo de arquivo malicioso , mas a equipe de pesquisa de ameaças viu um aumento de 11% nas ameaças de arquivo – sugerindo que os invasores estão cada vez mais colocando arquivos em arquivos antes de enviá-los para evitar a detecção
- 69% dos malwares detectados foram entregues por e-mail, enquanto os downloads da web foram responsáveis por 17%
- As iscas de phishing mais comuns foram transações comerciais como “Pedido”, “Pagamento”, “Compra”, “Solicitação” e “Fatura”.
“Os invasores estão testando novos formatos de arquivos maliciosos ou explorações em ritmo acelerado para contornar a detecção, portanto, as organizações devem se preparar para o inesperado. Isso significa adotar uma abordagem arquitetônica para a segurança de terminais, por exemplo, contendo os vetores de ataque mais comuns, como e-mail, navegadores e downloads, para que as ameaças sejam isoladas, independentemente de serem detectadas”, comenta Dr. Ian Pratt, chefe global de segurança para Sistemas Pessoais, HP Inc.
“Isso eliminará a superfície de ataque para classes inteiras de ameaças, além de dar à organização o tempo necessário para coordenar os ciclos de patches com segurança sem interromper os serviços.”
FONTE: HELPNET SECURITY