LightNeuron: malware perigoso que promove ataques por e-mail

A empresa de segurança ESET descobriu um malware, backdoor do Microsoft Exchange, que tem a capacidade de ler, modificar ou bloquear qualquer email que passe pelo servidor, incluindo escrever novas mensagens e enviá-las sob a identidade de qualquer usuário legítimo da escolha dos invasores. O malware foi batizado de LightNeuron e tem o Brasil entre seus alvos.

O controle do malware é feito remotamente por meio de anexos em formato PDF e JPG ocultos em mensagens recebidas pelos usuários: “Na arquitetura do servidor de e-mail, o LightNeuron pode operar com o mesmo nível de confiança que os produtos de segurança, como filtros de spam. Como resultado, esse malware oferece ao invasor controle total sobre o servidor de e-mail e, portanto, sobre toda a comunicação do usuário”, diz Matthieu Faou, pesquisador de malware da ESET.

O LightNeuron fez vítimas na Europa e Oriente Médio. No Brasil, apesar do país ter sido atingido, ainda não se sabe qual organização foi atacada.

“Para fazer com que os e-mails de comando e controle (C&C) pareçam inocentes, o LightNeuron usa esteganografia para ocultar seus comandos em imagens PDF ou JPG válidas. A capacidade de controlar a comunicação por email torna o LightNeuron uma ferramenta perfeita para vazar documentos e também para controlar outras máquinas locais por meio de um mecanismo de C&C, o que é muito difícil de detectar e bloquear”, explica a ESET.

Uma vítima do malware terá trabalho para limpar o PC, completa a empresa. A simples exclusão de arquivos maliciosos não funciona, já que isso poderia fazer o servidor de e-mail falhar. Segundo Matthieu Faou, “encorajamos os administradores de sistemas a ler o documento de pesquisa da ESET em sua totalidade antes de implementar um mecanismo de limpeza”. Você pode encontrar o documento aqui.

Fonte: Tecmundo

Malware de mineração de criptomoeda ainda permanece como ameaça

malwareEmbora os serviços de mineração de criptomoeda, como o Coinhive, tenham encerrado no último mês de março, os criptomineradores ainda são os malwares mais predominantes nas organizações em todo o mundo, segundo o Índice Global de Ameaças referente ao mês de março de 2019, da Check Point Research.

Segundo pesquisadores da companhia, é a primeira vez desde dezembro de 2017 que o Coinhive caiu da primeira posição, mas, apesar de ter operado apenas oito dias em março, ainda era o sexto malware mais comum a afetar as companhias durante o mês. No seu auge, o Coinhive impactou 23% das organizações em todo o mundo.

Atualmente, muitos sites ainda possuem o código JavaScriptCoinhive e, mesmo sem atividade de mineração, os pesquisadores da Check Point avisam que o Coinhive pode ser reativado se o valor do Monero (criptomoeda de código aberto) aumentar. A expectativa é que outros serviços de mineração também aumentem a sua atividade para aproveitar a ausência do Coinhive.

De acordo com Maya Horowitz, diretora de Inteligência de Ameaças e Pesquisa da Check Point, “com os valores de criptomoedas caindo em geral desde 2018, veremos mais criptomineradores para navegadores seguindo os passos do Coinhive e cessando a operação”.

“No entanto, suspeito que os criminosos virtuais encontrarão formas de ganhar com atividades de criptomineração mais robustas, utilizando ambientes em nuvem para mineração. Vimos organizações pagando centenas de milhares de dólares a seus provedores de serviços em nuvem pelos recursos de computação usados ​​ilicitamente pelos criptomineradores. Esta é uma chamada de ação para as organizações protegerem seus ambientes de nuvem”, reforça Maya.

Fonte: itmidia

Método russo à serviço dos cibercriminosos brasileiros

cibercrimeNão é novidade que os cibercriminosos brasileiros tentam, constantemente, novas formas para enganar os usuários – mas não é sempre que criam novas técnicas. A Kaspersky Lab identificou uma campanha de malware bancário utilizando o método BOM para confundir scanners de e-mail e infectar as vítimas – esta é a primeira vez que a técnica é utilizada no País e tem como alvo correntistas brasileiros e chilenos. Os usuários dos produtos da companhia estão protegidos deste ataque.

Técnica de 2013

Criados por criminosos russos para distribuir malware de sistemas Windows, essa técnica foi descoberta em 2013 e consiste em adicionar o prefixo BOM (Byte Order Mark) para evitar a detecção. Campanhas de malware bancários dependem das famosas mensagens de phishing para aumentar o número de vítimas. O desafio dos criminosos russos era confundir os scanners de e-mail, então criaram um arquivo .ZIP com cabeçalho modificado para conseguir entregar as mensagens maliciosas nas caixas de correio dos usuários.malware zipadoAo tentar abrir o arquivo compactado utilizando o visualizador padrão do Windows Explorer, o usuário vê uma mensagem de erro, dizendo que está corrompido. Ao analisá-lo, os especialistas da Kaspersky perceberam que o cabeçalho do ZIP contém três bytes extras (0xEFBBBF), que representam o (BOM), antes da assinatura “PK” (0x504B), que é o padrão do ZIP. Já o BOM é encontrado normalmente em arquivos de texto com codificação UTF-8. O ponto é que algumas ferramentas não irão reconhecer este arquivo como um ZIP -elas o lerão como um arquivo de texto e não conseguirão abri-lo.

Entretanto, programas como WinRAR e 7-Zip simplesmente ignoram o prefixo e irão extrair seu conteúdo corretamente. Uma vez que o usuário faça isso, será infectado. Quando isso acontece, o malware atuará como ponte para baixar o malware principal.malwareApós uma sequência de processos que visam evitar a detecção das ações maliciosas, é baixado o malware principal: variantes do malware Banking RAT que fica inoperante na máquina da vítima até que esta tente acessar seu Internet banking. Neste momento, ele começa a capturar tokens, código de acesso, data de aniversário, senha de acesso, entre outras formas de autenticação bancária.
“Identificamos atividades da campanha maliciosas usando o método BOM contra correntistas brasileiros e chilenos. Tecnicamente, é engenhosa e, por isso, é ingênuo esperar que com seis anos desde seu descobrimento não será efetiva. Usuários que contam com uma solução de segurança não correm muitos riscos, porém quem não tem nenhuma proteção está vulnerável”, afirma Thiago Marques, analista de segurança da Kaspersky Lab.

Todos os produtos da companhia estão aptos a extrair e analisar arquivos comprimidos contendo Byte Order Mark, além de já identificarem e bloquearem o malware usado neste golpe.

Mais informações sobre a ataque estão disponíveis no Securelist.com.

Fonte: Kaspersky

Venda de ferramentas na rede para criação de RAR malware

O WinRAR, uma unanimidade no Brasil, tem algumas vulnerabilidades críticas que foram encontradas nos últimos meses — entre elas, a possibilidade de instalar malwares, ransomwares e backdoors em computadores. Agora, segundo a empresa de segurança ESET, cibercriminosos estão vendendo ferramentas que permitem a criação de arquivos maliciosos em formato “.rar” para enganar a vítima.

A investigação mostra que os cibercriminosos vendem a ferramenta — chamadas de ‘builders’ — em diversos fóruns de hacking. O tipo de venda também mostra uma capacidade de ‘negócio’ para os hackers mal-intencionados: uma builder custa US$ 199, porém, é possível comprar licenças de uso por US$ 99 mensais.

Para se proteger destes golpes, é preciso atualizar o WinRAR presente em seu computador para a versão 5.70

“Esse builder só precisa que o usuário escolha o arquivo com o executável malicioso e o nome para o arquivo .rar que conterá o malware. Uma vez extraído o conteúdo do arquivo compactado com o WinRAR, o código malicioso será dropeado e executado na pasta principal assim que o computador seja reiniciado”, explica a ESET.

Mesmo assim, a empresa afirma que ainda aparecem cibercriminosos oferecendo os builders de maneira gratuita, o que é um perigo. “Em outro fórum de hacking, um usuário publicou recentemente que, ao saber que alguns membros começaram a criar “builders” que se aproveitam da vulnerabilidade CVE-2018-20250 e os comercializam para pessoas que não sabem como desenvolver um exploit para essa vulnerabilidade por conta própria, decidiu criar um site que permite que um arquivo RAR malicioso seja gerado gratuitamente para evitar que novatos, conhecidos em inglês como “script kiddies”, obtenham dinheiro para criar uma ferramenta que permita explorar a vulnerabilidade que afeta as versões do WinRAR. anteriores a 5.70”.

Para se proteger destes golpes, é preciso atualizar o WinRAR presente em seu computador para a versão 5.70. Mesmo assim, independentemente de atualização ao não, simplesmente evite abrir arquivos recebidos que não foram solicitados — a curiosidade é um dos maiores vetores de golpes na internet, vide a relação phishing x Brasil, praticamente um caso de amor.

Fonte: Tecmundo

Novo malware atinge 20 mil usuários do Android

Um malware inédito no Brasil foi identificado pela Diebold Nixdorf em fevereiro. Segundo relatório da companhia que atua na prevenção de fraudes, o chamado RAT (Remote Access Trojan) opera em dispositivos móveis Android e se utiliza de técnica em que o atacante navega e realiza as transações diretamente no dispositivo móvel do usuário.

Ao infectar um dispositivo, o fraudador tem como principal objetivo se passar pelo cliente e realizar transações eletrônicas nos aplicativos de bancos enquanto o usuário não está com a atenção voltada ao celular. Todo processo de navegação, autenticação e inserção das transações acontece sem qualquer interação física do aparelho, de forma remota e controlada pelo atacante.

Segundo a Diebold Nixdorf, o malware possibilita uma visualização e controle total do dispositivo da vítima por meio de permissão de acessibilidade, concedida pelo usuário no momento da instalação do aplicativo. Uma vez com a permissão, o software concede a si mesmo outras permissões necessárias para executar as demais tarefas a qual se propõe, inclusive a própria senha de desbloqueio do aparelho.

Para não chamar a atenção, o criminoso inicia a fraude e controla o dispositivo quando o usuário não está utilizando o aparelho. Os hackers ainda conseguem ativar o modo silencioso do aparelho e escurecem a tela em 90% para que a pessoa não veja o acesso remoto acontecendo. Para apagar vestígios, o malware ainda pode ser desinstalado de maneira remota após a fraude.

Como o malware chega aos usuários

Durante os processos de análise e engenharia reversa realizados pela área de Online Fraud Detection (OFD) da Diebold Nixdorf, foi possível identificar que o processo de disseminação do Malware se dá por meio de spam e via anúncios pagos pelos criminosos. Na maioria das vezes o acesso se dá por anúncios de atualização do aplicativo WhatsApp ou propaganda de retrospectivas.

Uma vez com controle total do dispositivo, o criminoso pode facilmente navegar pelos aplicativos de mensagem instantânea e disseminar o link para download do aplicativo falso, se passando pelo próprio usuário como se fosse uma recomendação pessoal enviada em sua rede de contatos.

Como se proteger

Especialistas da Diebold Nixdorf detectaram 20 mil instalações no Brasil que já impactaram usuários de aplicativos de grandes bancos no país. Para evitar cair em uma fraude como essa, os profissionais recomendam algumas atitudes:

Fique atento com links encaminhados via aplicativos de mensagens. Cheque sempre a fonte daquela informação e pesquise sobre a veracidade da informação antes de realizar qualquer download.

Não baixe e nem instale softwares e/ou aplicativos desconhecidos – existem diversos programas na internet que prometem melhorar a eficiência de seus dispositivos, porém, pode se tratar de programas espiões.

Tenha um software antivírus instalado e sempre atualizado – seja no seu computador ou celular.

Fonte: itmídia

30% dos PCs foram atacados por malware em 2018

Um terço dos computadores se deparou com, pelo menos, uma ciberameaça em 2018, segundo levantamento da Kaspersky Lab. Dentre todos os novos arquivos maliciosos detectados em 2018 foi descoberto que o número de backdoors aumentou 44%, enquanto o volume de ransomware cresceu 43%. Sendo que backdoor são usados por cibercriminosos para realizar um acesso remoto às máquinas comprometidas. “Estes resultados mostram que o malware, especialmente os backdoors e o ransomware, continuam sendo um perigo significativo para os usuários de computadores”, ressaltou a companhia.

Em 2018, o ransomware (Trojan-Ransom) e os backdoors detectados compreenderam 3,5% e 3,7% de todos os novos arquivos maliciosos coletados nos primeiros dez meses do ano. Isto representa um aumento de 43% para o ransomware (de 2.198.130 em 2017 para 3.133.513 em 2018) e de 44% para os backdoors (de 2.272.341 em 2017 para 3.263.681 em 2018) em relação ao período anterior.

De acordo com a Kaspersky Lab, as tecnologias de detecção da companhia encontraram 346.000 novos malware por dia nos dez primeiros meses do ano. O número e o alcance de novos arquivos maliciosos detectados diariamente são uma boa indicação dos interesses dos cibercriminosos envolvidos na criação e na distribuição de malware. Em 2011, nossas tecnologias detectaram 70.000 novos arquivos por dia e, até 2017, esse número aumentou cinco vezes, chegando a 360.000.

“Em 2018, observamos uma pequena redução nas detecções diárias. Por um lado, isso pode indicar que o interesse dos criminosos em reutilizar malware antigos se mostrou eficiente. Por outro, os picos do número de backdoors e Trojan-Ransom detectados mostram que os cribercrimonosos estão sempre em busca de novas maneiras de comprometer os dispositivos das vítimas e ganhar dinheiro com isso”, avalia Vyacheslav Zakorzhevsky, chefe de pesquisa antimalware da Kaspersky Lab.

O que você deve fazer para se proteger:

A companhia de cibersegurança recomenda que se preste muita atenção ao navegar na web e acessar documentos via e-mail. Entre as recomendações est´ a a de não abrir arquivos ou anexos suspeitos recebidos de fontes desconhecidas; Da mesma forma, não baixe e instale apps de fontes não confiáveis, tampouco não clique em links recebidos de fontes desconhecidas e anúncios suspeitos. Crie senhas fortes e não se esqueça de alterá-las regularmente. AO mesmo tempo, fique de olhe nas instalações disponíveis, pois elas podem conter correções para problemas de segurança críticos.

A Kaspersky também recomenda ignorar mensagens que solicitam a desativação de sistemas de segurança para software do Office ou software antivírus. E, claro, a utilização de uma solução de segurança eficiente pode automatizar todas as tarefas acima, permitindo que o usuário desfrute do melhor da internet.

Fonte: IDGNow!

Retrôs e perigosos

Se você costuma baixar jogos no seu celular, deve estar acostumado com as propagandas que vão aparecer em algum momento. Além de irritantes, esses anúncios podem ser perigosos para a segurança dos dados do usuário: alguns games disponíveis na App Store, a loja de aplicativos da Apple, trouxeram preocupações para a Wandera, empresa de segurança. Acontece que certos apps – boa parte deles, títulos clássicos — estavam se comunicando com o mesmo servidor responsável por espalhar um software malicioso chamado Golduck.

Talvez você não tenha ouvido falar deste malware. O Golduck chamou a atenção em 2017 por estar presente justamente nos jogos clássicos, mas na Play Store. O malware instalava uma parte de um programa no dispositivo do usuário, que enviava mensagens SMS para seus criadores, gerando dinheiro para os envolvidos no desenvolvimento do Golduck e, claro, aumentando o valor da conta de celular do usuário.

Até o momento, não houve qualquer incidente com os jogos suspeitos na App Store. O servidor em questão está sendo utilizado apenas para mostrar anúncios, mas isso não o remove da lista negra; afinal, segundo analistas, o uso do servidor pode ser mudado a qualquer momento. Além disso, pesquisadores descobriram que os games estavam enviando informações sobre os dispositivos nos quais estavam instalados.

A Apple já foi informada dos jogos suspeitos e, agora, nenhum deles é mostrado na busca. Trata-se de uma situação um pouco rara, já que a Maçã possui regras bem rígidas, que acabam barrando mais os apps maliciosos.

Fonte: Tecmundo