0 
0 Pesquisadores de segurança estão soando o alarme na ferramenta de malware apelidada de ChromeLoader. Ele surgiu pela primeira vez em janeiro como um ladrão de credenciais de seqüestro de navegador focado no consumidor, mas agora evoluiu para uma ameaça amplamente prevalente e multifacetada para organizações em vários setores.
Em um comunicado divulgado em 19 de setembro, pesquisadores da equipe de detecção e resposta gerenciada pelo Carbon Black da VMware disseram ter observado recentemente o malware sendo usado para também lançar ransomware, roubar dados confidenciais e implantar as chamadas bombas de descompressão (ou zip) para travar sistemas .
Os pesquisadores disseram ter observado centenas de ataques envolvendo versões mais recentes do malware visando empresas de serviços comerciais, educação, governo, saúde e vários outros setores.
“Esta campanha passou por muitas mudanças nos últimos meses e não esperamos que pare ”, alertaram os pesquisadores. “É imperativo que essas indústrias tomem nota da prevalência dessa ameaça e se preparem para responder a ela”.
Campanha Contínua e Prevalente
O aviso da VMware ecoou um da equipe de Inteligência de Segurança da Microsoft na sexta-feira sobre um agente de ameaças que eles estão rastreando como DEV-0796, que está usando o ChromeLoader em uma extensa e contínua campanha de fraude de cliques. Em uma série de tweets, os pesquisadores disseram que os ciberataques estavam tentando monetizar cliques gerados por uma extensão de navegador ou um node-webkit de navegador que o ChromeLoader baixou secretamente em vários dispositivos de usuários.
“Esta campanha começa com um arquivo .ISO que é baixado quando um usuário clica em anúncios maliciosos ou comentários do YouTube”, segundo a análise da Microsoft. Quando aberto, o arquivo .ISO instala o navegador node-webkit (NW.js) mencionado anteriormente ou uma extensão do navegador.
“Também vimos o uso de arquivos DMG, indicando atividade multiplataforma”, acrescentaram os pesquisadores da Microsoft.
O ChromeLoader (também conhecido como ChromeBack ou Choziosi Loader) chamou a atenção em janeiro, quando pesquisadores observaram operadores de malware usando-o para descartar uma extensão de navegador maliciosa como carga útil nos sistemas dos usuários. O malware visava usuários que visitavam sites divulgando videogames crackeados e torrents piratas.
Pesquisadores da equipe de caça a ameaças da Unidade 42 da Palo Alto Networks descreveram o vetor de infecção como começando com um usuário digitalizando um código QR nesses sites com a intenção de baixar conteúdo pirata. O código QR redirecionou o usuário para um site comprometido, onde foi persuadido a baixar uma imagem .ISO que supostamente era o arquivo pirata, que continha um arquivo de instalação e vários outros ocultos.
Quando os usuários iniciaram o arquivo do instalador, eles receberam uma mensagem indicando que o download falhou – enquanto em segundo plano um script do PowerShell no malware baixava uma extensão maliciosa do Chrome no navegador do usuário, descobriram os pesquisadores da Unidade 42.
Evolução Rápida
Desde que entrou em cena no início deste ano, os autores do malware lançaram várias versões, muitas delas equipadas com diferentes recursos maliciosos. Um deles é uma variante chamada Bloom.exe que fez sua aparição inicial em março e desde então infectou pelo menos 50 clientes VMware Carbon Black. Os pesquisadores da VMware disseram que observaram o malware sendo usado para exfiltrar dados confidenciais de sistemas infectados.
Outra variante do ChromeLoader está sendo usada para lançar bombas zip nos sistemas dos usuários, ou seja, arquivos maliciosos. Os usuários que clicam nos arquivos de compactação armados acabam lançando malware que sobrecarrega seus sistemas com dados e os trava. E desde agosto, os operadores da variante CrashLoader apropriadamente chamada usam o malware para distribuir uma família de ransomware chamada Enigma.
Táticas maliciosas atualizadas do ChromeLoader
Junto com as cargas úteis, as táticas para fazer os usuários baixarem o ChromeLoader também evoluíram. Por exemplo, pesquisadores do VMware Carbon Black disseram ter visto o autor do malware se passar por vários serviços legítimos para levar os usuários ao ChromeLoader.
Um serviço que eles imitaram é o OpenSubtitles, um site projetado para ajudar os usuários a encontrar legendas para programas de TV e filmes populares, disse a VMware em seu relatório. Outro é o FLB Music Play, um site para tocar música.
“O software personificado é usado em conjunto com um programa de adware que redireciona o tráfego da web, rouba credenciais e recomenda outros downloads maliciosos apresentados como atualizações legítimas”, disse a VMware.
Muitas vezes, os consumidores são os principais alvos de malware, como o ChromeLoader. Mas com muitos funcionários agora trabalhando em casa e geralmente usando seus dispositivos pessoais para acessar dados e aplicativos corporativos, as empresas também podem acabar sendo afetadas . A equipe Carbon Black da VMware, assim como os pesquisadores de segurança da Microsoft, disseram acreditar que a campanha atual é apenas um prenúncio de mais ataques envolvendo o ChromeLoader.
“A equipe do Carbon Black MDR acredita que esta é uma ameaça emergente que precisa ser rastreada e levada a sério”, disse a VMware em seu comunicado, “devido ao seu potencial de fornecer malware mais nefasto”.
FONTE: DARK READING