0 
0 Os agentes de ameaças estão falsificando as verificações de bots DDoS da Cloudflare na tentativa de descartar um Trojan de acesso remoto (RAT) em sistemas pertencentes a visitantes de alguns sites WordPress comprometidos anteriormente.
Pesquisadores da Sucuri descobriram recentemente o novo vetor de ataque enquanto investigavam um aumento nos ataques de injeção de JavaScript direcionados a sites WordPress. Eles observaram os invasores injetando um script nos sites do WordPress que acionaram um prompt falso alegando ser o site verificando se um visitante do site é humano ou um bot DDoS.
Muitos firewalls de aplicativos da Web (WAFs) e serviços de rede de distribuição de conteúdo fornecem rotineiramente esses alertas como parte de seu serviço de proteção contra DDoS. A Sucuri observou esse novo JavaScript em sites WordPress acionando um pop-up falso de proteção contra DDoS da Cloudflare.
Os usuários que clicaram no prompt falso para acessar o site acabaram com um arquivo .iso malicioso baixado em seus sistemas. Eles então receberam uma nova mensagem solicitando que eles abrissem o arquivo para que pudessem receber um código de verificação para acessar o site. “Como esses tipos de verificações de navegador são tão comuns na web, muitos usuários não pensariam duas vezes antes de clicar neste prompt para acessar o site que estão tentando visitar”, escreveu Sucuri. “O que a maioria dos usuários não percebe é que esse arquivo é na verdade um trojan de acesso remoto, atualmente sinalizado por 13 fornecedores de segurança no momento deste post.”
RAT Perigoso
A Sucuri identificou o Trojan de acesso remoto como NetSupport RAT, uma ferramenta de malware que os agentes de ransomware usaram anteriormente para ocupar sistemas antes de entregar ransomware neles. O RAT também foi usado para derrubar Racoon Stealer, um conhecido ladrão de informações que desapareceu brevemente no início deste ano, antes de voltar ao cenário de ameaças em junho. O Racoon Stealer surgiu em 2019 e foi um dos ladrões de informações mais prolíficos de 2021. Os agentes de ameaças o distribuíram de várias maneiras, incluindo modelos de malware como serviço e implantando-o em sites que vendem software pirata. Com os avisos falsos de proteção contra DDoS da Cloudflare, os agentes de ameaças agora têm uma nova maneira de distribuir o malware.
“Os agentes de ameaças, principalmente quando se trata de phishing, usarão qualquer coisa que pareça legítima para enganar os usuários”, diz John Bambenek, principal caçador de ameaças da Netenrich. À medida que as pessoas se acostumam a mecanismos como o Captcha para detectar e bloquear bots, faz sentido que os agentes de ameaças usem esses mesmos mecanismos para tentar enganar os usuários, diz ele. “Isso não apenas pode ser usado para fazer as pessoas instalarem malware, mas também para ‘verificações de credenciais’ para roubar credenciais dos principais serviços de nuvem (como) Google, Microsoft e Facebook”, diz Bambenek.
Em última análise, os operadores de sites precisam de uma maneira de dizer a diferença entre um usuário real e um sintético, ou um bot, observa ele. Mas, muitas vezes, quanto mais eficazes forem as ferramentas para detectar bots, mais difícil será para os usuários decodificarem, acrescenta Bambenek.
Charles Conley, pesquisador sênior de segurança cibernética da nVisium, diz que o uso de falsificação de conteúdo do tipo que a Sucuri observou para fornecer um RAT não é especialmente novo. Os cibercriminosos falsificam rotineiramente aplicativos e serviços relacionados a negócios de empresas como Microsoft, Zoom e DocuSign para fornecer malware e induzir os usuários a executar todos os tipos de software e ações inseguras.
No entanto, com ataques de falsificação baseados em navegador, as configurações padrão em navegadores como o Chrome que ocultam o URL completo ou sistemas operacionais como o Windows que ocultam as extensões de arquivo podem dificultar até mesmo para indivíduos mais exigentes saber o que estão baixando e de onde é, diz Conley.
FONTE: DARK READING