Criminosos cibernéticos estão usando publicidade falsa para distribuir malware
Por que é importante: os criminosos cibernéticos estão constantemente analisando o espaço tecnológico em busca de novas maneiras de explorar usuários e obter seus dados pessoais. No passado, os ataques de phishing foram aproveitados para induzir os usuários a fornecer informações confidenciais, fingindo ser uma fonte confiável e solicitando os dados do usuário. Mas, de acordo com a organização de inteligência de ameaças Talos da Cisco, uma nova campanha maliciosa vem ganhando força como um método eficaz para coletar informações de usuários desconhecidos.
Conhecida como malvertising, a Talos Intelligence da Cisco acredita que uma campanha específica conhecida como " Magnat " usa publicidade online fraudulenta para enganar os usuários que estão procurando por instaladores de software legítimos. A equipe de inteligência de ameaças da Cisco acredita que a campanha Magnat pode ter começado no final de 2018 e tem como alvo usuários no Canadá, Estados Unidos, Austrália e vários outros países europeus.
Quando um usuário é direcionado para o download fraudulento, ele executa um instalador falso que implanta três partes distintas de malware em seu sistema. Embora o instalador falso funcione instalando vários componentes de malware, ele não instala o aplicativo real que o usuário estava procurando originalmente.
O primeiro malware é um ladrão de senhas usado para coletar credenciais de usuários, geralmente por meio de uma ferramenta comum conhecida como Redline. Outro malware, conhecido como MagnatBackdoor, configura o acesso remoto ao dispositivo do usuário via Microsoft Remote Desktop. Esse acesso, combinado com as credenciais do usuário roubadas pelo Redline (ou uma ferramenta semelhante), pode fornecer acesso irrestrito aos sistemas do usuário, apesar de protegidos e protegidos por firewall. A parte final do malware trifecta é uma extensão do navegador Chrome conhecida como MagnatExtension, que é usada para keylogging, obtenção de capturas de tela de informações confidenciais etc.
Um tweet de agosto de 2021 forneceu capturas de tela e amostras de download de uma campanha suspeita de publicidade maliciosa. Talos analisou as amostras mencionadas no tweet e verificou que pelo menos uma amostra continha os componentes de malware MagnatBackdoor, MagnatExtension e Redline.
Talos acredita que as ferramentas Magnat foram desenvolvidas e aprimoradas ao longo de vários anos e não mostram sinais de desaceleração tão cedo. O nome do pacote do instalador está em constante evolução e normalmente faz referência ao nome de aplicativos populares para dar credibilidade e induzir os usuários a implantar o pacote. Exemplos de nomes de pacotes anteriores incluem viber-25164.exe, wechat-35355.exe, build_9.716-6032.exe, setup_164335.exe, nox_setup_55606.exe e battlefieldsetup_76522.exe.