Os
pesquisadores da Kaspersky Lab descobriram ataques realizados por um
novo malware que se propaga no ambiente online e que utiliza uma
vulnerabilidade de ‘dia zero’ existente no aplicativo Telegram para
desktop. A vulnerabilidade foi usada para difundir um malware
multifuncional que, dependendo do computador atacado, pode ser usado
como backdoor ou como uma ferramenta para instalar um software de
mineração. Segundo a investigação, a vulnerabilidade é explorada
ativamente desde março de 2017 para a funcionalidade de mineração de
criptomoedas, como Monero, Zcash, etc.
Os
serviços de mensagens, criados para facilitar o contato com amigos e
familiares, fazem parte de nossa vida conectada há muito tempo. Ao mesmo
tempo, eles podem trazer complicações importantes se forem alvos de um
ataque cibernético. Por exemplo, no mês passado, a Kaspersky Lab
publicou o relatório de uma pesquisa sobre um malware avançado em
dispositivos, o cavalo de Troia Skygofree,
capaz de roubar mensagens do WhatsApp. A pesquisa mais recente mostra
que os especialistas conseguiram identificar ataques ‘em campo’ que
utilizam uma nova vulnerabilidade antes desconhecida na versão para
desktop de outro serviço conhecido de mensagens instantâneas. A
investigação mais recente da Kaspersky Lab revela ataques de malware no
ambiente online com uma nova vulnerabilidade, anteriormente
desconhecida, na versão de desktop de outro popular serviço de mensagens
instantâneas - Telegram
De acordo com análise, a vulnerabilidade de “dia zero” do Telegram se baseia no método Unicode RLO (substituição da direita para a esquerda). Em geral, ele é usado para codificar idiomas escritos da direita para a esquerda, como árabe ou hebraico. Porém, os criadores do malware também podem usá-lo para induzir os usuários a baixar arquivos maliciosos disfarçados, por exemplo, como imagens.
Os invasores usaram um símbolo Unicode oculto no nome do arquivo para inverter a ordem dos caracteres, renomeando assim o próprio arquivo. Consequentemente, os usuários baixavam o malware oculto, que era instalado nos computadores. A Kaspersky Lab informou ao Telegram sobre a vulnerabilidade e, até o momento desta publicação, a falha de “dia zero” não foi mais observada nos produtos de mensagens instantâneas.
Durante a análise, os especialistas da Kaspersky Lab identificaram vários cenários de explorações de “dia zero” em campo lançadas por agentes de ameaças. Em primeiro lugar, a vulnerabilidade foi explorada para transmitir o malware de mineração, que pode ser causar muitos danos aos usuários. Usando a capacidade de computação do PC da vítima, os criminosos virtuais criam vários tipos de moeda criptografada, como Monero, Zcash, Fantomcoin e outros. Além disso, ao analisar os servidores de um agente de ameaças, os pesquisadores da Kaspersky Lab descobriram arquivos comprimidos contendo um cache local do Telegram que havia sido roubado das vítimas.
De acordo com análise, a vulnerabilidade de “dia zero” do Telegram se baseia no método Unicode RLO (substituição da direita para a esquerda). Em geral, ele é usado para codificar idiomas escritos da direita para a esquerda, como árabe ou hebraico. Porém, os criadores do malware também podem usá-lo para induzir os usuários a baixar arquivos maliciosos disfarçados, por exemplo, como imagens.
Os invasores usaram um símbolo Unicode oculto no nome do arquivo para inverter a ordem dos caracteres, renomeando assim o próprio arquivo. Consequentemente, os usuários baixavam o malware oculto, que era instalado nos computadores. A Kaspersky Lab informou ao Telegram sobre a vulnerabilidade e, até o momento desta publicação, a falha de “dia zero” não foi mais observada nos produtos de mensagens instantâneas.
Durante a análise, os especialistas da Kaspersky Lab identificaram vários cenários de explorações de “dia zero” em campo lançadas por agentes de ameaças. Em primeiro lugar, a vulnerabilidade foi explorada para transmitir o malware de mineração, que pode ser causar muitos danos aos usuários. Usando a capacidade de computação do PC da vítima, os criminosos virtuais criam vários tipos de moeda criptografada, como Monero, Zcash, Fantomcoin e outros. Além disso, ao analisar os servidores de um agente de ameaças, os pesquisadores da Kaspersky Lab descobriram arquivos comprimidos contendo um cache local do Telegram que havia sido roubado das vítimas.
Depois
de conseguir explorar a vulnerabilidade, era instalado um backdoor que
usava a API do Telegram como protocolo de comando e controle. Assim, os
hackers obtinham acesso remoto ao computador da vítima. Após a
instalação, ele começava a operar em modo silencioso, permitindo que o
agente da ameaça continuasse imperceptível na rede e executasse diversos
comandos, por exemplo, para instalar outras ferramentas de spyware.
Os artefatos descobertos durante a pesquisa sugerem que os criminosos virtuais são de origem russa.
“A popularidade dos serviços de mensagens instantâneas é incrivelmente alta, sendo extremamente importante que os desenvolvedores ofereçam proteção adequada a seus usuários para que eles não se tornem alvos fáceis para os criminosos”, diz Alexey Firsh, analista de malware no setor de pesquisa de ataques direcionados da Kaspersky Lab. “Descobrimos vários cenários dessa exploração de “dia zero” que, além dos malwares e spywares genéricos, eram usadas para entregar software de mineração. Essas infecções tornaram-se uma tendência global que observamos ao longo do último ano. Além disso, acreditamos na existência de outras maneiras de usar indevidamente essa vulnerabilidade de dia zero”, finaliza.
Os produtos da Kaspersky Lab detectam e bloqueiam os casos de exploração da vulnerabilidade descoberta.
Para proteger seu computador de qualquer infecção, a Kaspersky Lab recomenda:
- Não baixe e instale arquivos desconhecidas de fontes não confiáveis;
- Evite compartilhar informações pessoais sigilosas em mensagens instantâneas;
- Instale uma solução de segurança confiável, como o Kaspersky Internet Security ou o Kaspersky Free, capaz de detectar e oferecer proteção contra todas as ameaças possíveis, incluindo software de mineração malicioso
Os artefatos descobertos durante a pesquisa sugerem que os criminosos virtuais são de origem russa.
“A popularidade dos serviços de mensagens instantâneas é incrivelmente alta, sendo extremamente importante que os desenvolvedores ofereçam proteção adequada a seus usuários para que eles não se tornem alvos fáceis para os criminosos”, diz Alexey Firsh, analista de malware no setor de pesquisa de ataques direcionados da Kaspersky Lab. “Descobrimos vários cenários dessa exploração de “dia zero” que, além dos malwares e spywares genéricos, eram usadas para entregar software de mineração. Essas infecções tornaram-se uma tendência global que observamos ao longo do último ano. Além disso, acreditamos na existência de outras maneiras de usar indevidamente essa vulnerabilidade de dia zero”, finaliza.
Os produtos da Kaspersky Lab detectam e bloqueiam os casos de exploração da vulnerabilidade descoberta.
Para proteger seu computador de qualquer infecção, a Kaspersky Lab recomenda:
- Não baixe e instale arquivos desconhecidas de fontes não confiáveis;
- Evite compartilhar informações pessoais sigilosas em mensagens instantâneas;
- Instale uma solução de segurança confiável, como o Kaspersky Internet Security ou o Kaspersky Free, capaz de detectar e oferecer proteção contra todas as ameaças possíveis, incluindo software de mineração malicioso
Saiba mais sobre a vulnerabilidade de “dia zero” descoberta, incluindo detalhes técnicos no blog Securelist.com.
Nenhum comentário:
Postar um comentário