0 
0 Grupos de ameaças continuam a reciclar código de ferramentas mais antigas em estruturas mais generalizadas, uma tendência que continuará à medida que as bases de código incorporarem mais modularidade, disseram especialistas em segurança nesta semana.
No exemplo mais recente, o grupo de ameaças por trás do Ursnif – também conhecido como Gozi – recentemente mudou a ferramenta de foco em serviços financeiros para recursos de backdoor mais gerais, afirmou a empresa de serviços de segurança cibernética Mandiant em uma análise. A nova variante, que a empresa apelidou de LDR4, provavelmente visa facilitar a disseminação de ransomware e o roubo de dados para extorsão.
O malware modular se junta ao Trickbot , Emotet , Qakbot , IcedID e Gootkit , entre outros, como ferramentas que começaram como Trojans bancários, mas foram reaproveitados como backdoors, sem exigir o esforço de desenvolvimento de criar uma base de código totalmente nova, diz Jeremy Kennelly, gerente sênior para análise de crimes financeiros na Mandiant.
“Os desenvolvedores que trabalham em Trojans bancários adotaram várias abordagens para reequipar seu malware como um backdoor para suportar operações de intrusão, embora uma grande reescrita de código geralmente não tenha sido considerada necessária”, diz ele. “Essas famílias de malware – em sua essência – são apenas backdoors modulares que carregam historicamente componentes secundários que permitem a funcionalidade de ‘banqueiro’.”
A análise de Ursnif da Mandiant aponta que manter várias bases de código é uma tarefa desafiadora para desenvolvedores de malware, especialmente quando um erro pode dar aos defensores uma maneira de bloquear um ataque e aos investigadores uma maneira de caçar o invasor. Manter uma única base de código modular é muito mais escalável, afirmou a análise da empresa esta semana .
Um movimento de malware em direção à modularidade de backdoor
Não surpreende que os desenvolvedores de malware estejam migrando para códigos mais gerais e modulares, diz Max Gannon, analista sênior de inteligência da Cofense.
“Em alguns casos, um Trojan de acesso remoto (RAT), tradicionalmente visto como um backdoor, pode ser mais propício para a atividade da ameaça”, diz ele. “No entanto, muitos agentes de ameaças querem mais do que apenas um backdoor, e muitas famílias de malware de commodities se transformaram em ferramentas multiuso que simplesmente incluem acesso backdoor”.
A especialização de ferramentas no submundo do crime cibernético também é uma razão pela qual as bases de código mais antigas estão sendo reaproveitadas. Ao focar ferramentas específicas em áreas de ataque — como acesso inicial, movimentação lateral ou exfiltração de dados — os desenvolvedores dessas ferramentas podem se diferenciar dos concorrentes e oferecer um conjunto exclusivo de recursos. O uso de bases de código existentes também economiza tempo, e tornar esses projetos modulares permite que a ferramenta seja personalizada para as necessidades do cliente – leia-se, “atacante” -, diz Jon Clay, vice-presidente de inteligência de ameaças da Trend Micro.
“Os codificadores por trás de muitos desses kits de ferramentas os criam e os vendem nos mercados clandestinos de cibercriminosos, pois oferecem aos novatos e outros agentes maliciosos kits prontos para executar ataques”, diz ele. “Muitos deles oferecem automações agora, bem como interfaces GUI para gerenciar os ataques e as informações/dados das vítimas.”
O código Ursnif original apareceu em meados dos anos 2000. O Trojan bancário Zeus – usado em roubos de dezenas de milhões e provavelmente centenas de milhões de dólares – teve uma trajetória semelhante , com sua adoção acelerada por um vazamento de código-fonte. Outro Trojan bancário, o Emotet , agora se tornou um backdoor geral, permitindo que seu grupo de desenvolvimento ofereça acesso como serviço a outros cibercriminosos, uma relação comercial também demonstrada pelo Qakbot, outro Trojan criado inicialmente como um Trojan bancário .
Todos esses programas tiveram o benefício da modularidade, diz Kennelly da Mandiant.
“Todos os banqueiros que foram amplamente reaproveitados como backdoors já eram modulares, o que tem o benefício adicional de limitar a complexidade do malware principal e fornecer flexibilidade operacional significativa”, diz ele. “Essas famílias de malware estabelecidas também tinham um histórico comprovado e familiaridade geral com os atores que as usavam.”
Entrega de malware canivete suíço
Em vez de mudanças na funcionalidade, grande parte da evolução nas ferramentas de categorização de invasores ocorreu porque a rotulagem teve que acompanhar as mudanças no design do malware. Ao redesenhar as bases de código para serem modulares, definir uma ferramenta como uma coisa única – seja um Trojan bancário, um bot de spam ou um worm – torna-se muito mais difícil. Adicionar um único novo módulo alteraria o rótulo do código.
No passado, por exemplo, os vírus de computador se espalhavam infectando arquivos, enquanto os worms usavam varredura e exploração automatizadas para se espalhar de forma rápida e ampla. No entanto, vários Trojans incorporaram uma ou ambas as funcionalidades, levando a um termo mais geral: software malicioso ou malware.
Uma evolução semelhante aconteceu em torno da classificação das ferramentas do invasor. Programas que foram originalmente considerados como Trojans bancários, RATs ou ferramentas de varredura agora são recursos de estruturas mais gerais, diz Gannon, da Codefense.
“Se pensarmos em um backdoor como um software que fica em uma máquina para fornecer acesso que contorna as medidas normais de segurança, os Trojans bancários agem inerentemente como backdoors para desempenhar suas funções usuais, então quase qualquer Trojan bancário pode ser usado como um sem a necessidade para muitas mudanças”, diz ele. “A diferença muitas vezes está simplesmente na intenção do usuário.”
Como se proteger contra malware modular
Para combater a ameaça, as empresas devem ter ferramentas que procurem sinais indicadores de que um backdoor ou RAT está sendo usado dentro de sua rede. Como os ataques de phishing são uma maneira comum de comprometer os sistemas do usuário final, a autenticação multifator (MFA) e o treinamento de funcionários também podem ajudar a proteger as empresas contra ataques.
No geral, ter visibilidade das mudanças nos sistemas e tráfego anômalo na rede pode ajudar imensamente, diz Clay, da Trend Micro.
“A principal coisa a saber é que, em muitos casos, há sinais precoces de que essas ferramentas estão sendo usadas dentro da organização e que, se vistas”, diz ele, “devem ser levadas muito a sério, pois provavelmente há uma campanha ativa contra elas”.
FONTE: DARK READING