0 
0 O grupo de malware QAKBOT retomou a expansão de sua rede de acesso como serviço no início de setembro, comprometendo com sucesso centenas de empresas com cargas comuns de segundo estágio, incluindo malware Emotet e duas plataformas de ataque populares, disseram pesquisadores de ameaças nesta semana.
No incidente mais recente, a empresa de segurança cibernética Trend Micro observou sistemas infectados por QAKBOT implantando Brute Ratel, uma plataforma de “emulação adversária” usada por testadores de penetração, mas também – junto com Cobalt Strike – usada por cibercriminosos por seus recursos sofisticados. Outro grupo, conhecido como Black Basta, provavelmente é responsável pela atividade subsequente do invasor usando as duas plataformas, disse a Trend Micro.
O uso do QAKBOT pela Black Basta, também conhecido como QBot ou Pinkslipbot, destaca como os grupos de cibercriminosos estão se especializando em atividades específicas da cadeia de ataque, diz Jon Clay, vice-presidente de inteligência de ameaças da Trend Micro.
“O QBot parece ter melhorado sua oferta, pois eles precisam competir com outros grupos que vendem serviços semelhantes no submundo – BlackBasta é um desses grupos que sente que seu conjunto de ferramentas funciona para eles”, diz ele. “Eles continuam atualizando seu código e malware para melhorar a ofuscação e a capacidade de comprometer as vítimas com sucesso”.
Depois que o QAKBOT infecta um sistema, as ferramentas de ataque realizam reconhecimento automatizado e, em seguida, baixam e instalam o Brute Ratel, que é usado pelo Black Basta para se mover lateralmente para outros sistemas na rede e executar cargas úteis, de acordo com o relatório da Trend Micro .
Outras empresas de segurança também notaram que grupos de cibercriminosos têm se concentrado cada vez mais em elementos específicos da cadeia de ataque. Embora o QAKBOT tenha começado como um trojan bancário, diferentes grupos aumentaram seus recursos com módulos adicionais, de acordo com o NCC Group, uma empresa de inteligência de ameaças.
“O QBot é considerado um Trojan bancário, mas graças ao seu design modular, ele também pode atuar como um infostealer, um backdoor – com seu módulo de backconnect – e um downloader”, disse a Equipe Global de Inteligência de Ameaças do NCC Group em resposta a perguntas de Dark Reading, acrescentando: “Após a tentativa de derrubar o Emotet e a recente pausa de sua operação, QBot e Bokbot estavam compartilhando o mercado”.
A abordagem rendeu sucesso para o grupo. Em um relatório separado , pesquisadores de ameaças da empresa de segurança cibernética Kaspersky disseram que o QAKBOT infectou pelo menos 1.800 vítimas, das quais pelo menos metade são sistemas de negócios ou computadores de funcionários.
Black Basta é apenas um dos grupos que usam um serviço QAKBOT ou distribuem o malware por conta própria. O grupo Black Basta apareceu pela primeira vez em abril, realizando operações de dupla extorsão nas quais o invasor instala ransomware e rouba dados para pressionar a empresa a pagar o resgate. O grupo provavelmente é formado por membros da quadrilha Conti, que se dissolveu em maio, mas cujos membros continuam sendo uma ameaça .
Brute Ratel no QAKBOT Mix
Em maio, um arquivo malicioso vinculado à ferramenta de ataque, Brute Ratel, foi carregado no VirusTotal, uma maneira comum de verificar se os scanners antimalware atuais podem detectar uma nova variante. Nenhum dos 56 scanners detectou que o arquivo continha código malicioso, escreveram Mike Harbison e Peter Renals, dois pesquisadores de ameaças da empresa de segurança de rede Palo Alto Networks, em uma análise do Brute Ratel em julho.
O ataque provavelmente veio de um grupo russo conhecido como APT29 e apresenta problemas para as empresas, afirmaram os pesquisadores.
“Embora [Brute Ratel C4] tenha conseguido ficar fora dos holofotes e permaneça menos conhecido do que seus irmãos Cobalt Strike, não é menos sofisticado”, escreveram Harbison e Renals. “Em vez disso, essa ferramenta é especialmente perigosa, pois foi projetada especificamente para evitar a detecção por recursos de detecção e resposta de endpoint (EDR) e antivírus (AV)”.
A Trend Micro concordou com a Palo Alto Networks que, embora o Cobalt Strike seja uma carga útil bem conhecida usada por muitos cibercriminosos, mais invasores estão começando a usar o Brute Ratel para estender seu comprometimento e entregar cargas úteis, especialmente depois que código roubado e licenças vazadas fizeram cópias piratas do software disponível.
A obscuridade ajuda o programa a ser bem-sucedido, afirmou a Trend Micro em sua análise.
“Isso torna o Brute Ratel e outros frameworks C2 menos estabelecidos uma opção cada vez mais atraente para atores mal-intencionados, cujas atividades podem permanecer indetectáveis por um período mais longo”, afirmou a empresa.
Como o grupo QAKBOT atual usa extensivamente spam, e-mails direcionados e encadeamentos de e-mail comprometedores como forma de distribuir os links e malware iniciais, a Trend Micro recomenda que os usuários sigam as práticas recomendadas de segurança de e-mail, como verificar o remetente e o conteúdo do e-mail antes de baixar anexos e passando o mouse sobre os links incorporados para ver o URL de destino real. O treinamento de conscientização de segurança é uma parte importante para aumentar o nível necessário para infectar uma empresa.
FONTE: DARK READING