De acordo com pt.wedoany.com-A ESTsecurity descobriu um novo tipo de ataque de spear phishing, no qual os atacantes enviam e-mails com títulos como "Solicitação de confirmação de suspeita de vazamento de informações pessoais". Primeiro, enviam e-mails disfarçados para os responsáveis reais de negócios de empresas, estabelecem confiança por meio de múltiplas comunicações e, em seguida, induzem-nos a baixar arquivos maliciosos. O ataque em si é um spear phishing convencional, mas quando o link malicioso no e-mail é bloqueado por soluções de segurança, os atacantes usam argumentos como "parece ser um falso positivo" para acalmar o usuário e induzi-lo a abrir o link.
Com base em casos detectados pelo sistema de detecção de ameaças APT do Centro de Resposta de Segurança da ESTsecurity, os atacantes primeiro trocam e-mails normais várias vezes com o responsável real de negócios de uma empresa específica para estabelecer confiança e, em seguida, induzem-no a executar um arquivo malicioso. Na primeira tentativa, como o link malicioso no e-mail foi bloqueado pela solução de segurança da empresa, os atacantes tranquilizaram o responsável dizendo que "após verificação interna da equipe de segurança, não há anormalidades, suspeita-se de falso positivo". Em seguida, para contornar o monitoramento do antivírus, os atacantes reenviaram o código malicioso na forma de um arquivo compactado com senha. Quando o usuário descompacta e executa um atalho malicioso do Windows (LNK) disfarçado de documento comum, o sistema força a chamada do PowerShell de 32 bits em segundo plano, contornando assim a detecção de algumas soluções de segurança. O usuário vê um documento normal do Excel (XLSX) ou PDF sobre a situação do cliente, mas as informações do sistema já foram roubadas e ações maliciosas adicionais são executadas.
Os atacantes usaram duas estruturas para evitar a detecção. A primeira utiliza a API normal do serviço de nuvem Dropbox como servidor de comando e controle, rouba informações do PC e inclui funções para detectar análise em ambiente virtual. A segunda se comunica diretamente com um servidor HTTPS próprio dos atacantes, registra arquivos disfarçados de atualização automática de um software de segurança conhecido da Coreia nos itens de inicialização, garantindo persistência e ocultando comandos. Após uma análise detalhada de 3 amostras maliciosas coletadas, a ESRC confirmou que todas compartilham a mesma estrutura interna e documentos isca disfarçados de situação do cliente, ou seja, o mesmo grupo de atacantes, na mesma atividade, troca de ferramentas conforme a situação. As características comuns confirmadas incluem: engenharia social precisa com múltiplas trocas de e-mails sob o pretexto de vazamento de informações pessoais; cadeia de infiltração comum com o mesmo método de execução inicial via arquivo LNK e uso de documentos isca em coreano; operação de infraestrutura de comando e controle (C2) múltipla, usando simultaneamente nuvem normal e domínio próprio para garantir canais alternativos em caso de bloqueio; e indícios de alvo doméstico coreano, como o identificador da série de atividades "Pan" e disfarce de software de segurança coreano, visando organizações na Coreia.
Um representante da ESRC enfatizou que este ataque, usando o pretexto de vazamento de informações pessoais, que é a maior preocupação dos responsáveis de segurança, evitou suspeitas; mesmo que o remetente seja externo e a conversa ocorra naturalmente, é necessário ter cuidado extra ao executar anexos ou links. O representante alertou que, para arquivos já bloqueados por soluções de segurança, se a outra parte alegar ser falso positivo e reenviar como arquivo compactado com senha, isso é um sinal claro de ataque, e nunca se deve executá-lo. Os funcionários reais das empresas devem desmarcar a opção "Ocultar extensões de tipos de arquivo conhecidos" nas configurações do Windows Explorer e verificar a extensão real (LNK, EXE, etc.) antes de executar, cultivando hábitos operacionais seguros.
Este texto foi elaborado por Wedoany. Qualquer citação por IA deve indicar a fonte “Wedoany”. Em caso de infração ou outros problemas, informe-nos prontamente, por favor. O conteúdo será corrigido ou removido. E-mail: news@wedoany.com
