A HP apresenta seu novo relatório trimestral de ameaças cibernéticas, intitulado Quarterly Threat Insights Report, que faz uma análise de ataques reais cometidos contra clientes ao redor do mundo. O estudo descobriu que 29% dos arquivos de malware capturados eram desconhecidos antes* – devido ao uso disseminado de packers e técnicas de ofuscação pelos criminosos, na tentativa de escapar da detecção.
É estimado que 88% do malware foi entregue por e-mail, diretamente nas caixas de entrada dos usuários, em muitos casos driblando filtros de gateway. Em média, levou 8,8 dias para as ameaças serem identificadas pelo código hash pelas ferramentas antivírus – dando aos hackers uma vantagem de mais de uma semana para avançar em suas campanhas.
O relatório fornece uma visão exclusiva do comportamento do malware quando ele está à solta, pois – ao contrário de outras ferramentas de segurança de endpoint, que buscam prevenir ou intervir em um ataque – o HP Sure Click deixa o malware rodar, induzindo-o a executar enquanto captura a cadeia completa de infecção dentro de máquinas microvirtuais isoladas. Essa abordagem de segurança realizada no hardware torna o malware inofensivo e mantém os usuários seguros.
“Os criminosos têm reiteradamente encontrado novos jeitos de contornar ferramentas tradicionais baseadas na detecção, tornando mais importante do que nunca que as organizações apliquem princípios de design confiança zero em sua arquitetura de segurança”, comenta o Dr. Ian Pratt, chefe global de Segurança para Sistemas Pessoais da HP Inc.
As principais ameaças isoladas pelo HP Sure Click incluem:
• Exploits de navegadores que levam ao FickerStealer: Campanha maliciosa que usava erros de digitação em domínios de serviços populares de mensagem instantânea. Os visitantes eram redirecionados a sites com o kit de exploit RigEK, que tentava explorar vulnerabilidades do navegador e seus plugins a fim de infectar o PC dos visitantes com o FickerStealer, malware de roubo de informações.
• Iscas disfarçadas de notificação de entrega que faziam os usuários permitirem a entrada de RATs: Um novo criador de malware para o Office, chamado APOMacroSploit, era usado para atingir vítimas com campanhas de spam imitando notificações de entrega, levando-as a abrir anexos XLS transformados em armas e, por fim, permitindo a instalação do cavalo de Troia BitRAT por acesso remoto nos computadores.
• A volta do ZLoader: Houve aumento nas atividades do cavalo de Troia bancário ZLoader, com uma combinação de técnicas – inclusive documentos de Word se passando por notas fiscais de farmácia que rodavam macros maliciosos só depois que o documento era fechado.
• A arte de despistar com DOSfuscation: No último surto de atividades do Emotet antes de ele ser derrubado, em janeiro 2021, seus operadores modificavam o gerenciador de downloads usando técnicas de DOSfuscation para tornar sua ofuscação mais complexa. O downloader também gerava uma mensagem de erro quando aberto, ajudando a evitar que os usuários suspeitassem quando os documentos maliciosos não se comportavam conforme o esperado.
• Sequestro de thread de e-mail de alvos governamentais: O HP Sure Click deteve sequestros de thread contra órgãos governamentais na América Central, onde dados de e-mail roubados eram usados para a criação de iscas convincentes de phishing para distribuição do Emotet.
“Os cibercriminosos têm explorado kits baratos de ‘malware como serviço’, que estão se proliferando em fóruns clandestinos. Kits como o APOMacroSploit, que surgiu no quarto trimestre de 2020, podem ser comprados por até US$ 50, o que ilustra como é fraca a barreira contra crimes cibernéticos oportunistas. Também temos visto que os agentes de ameaças fazem experiências contínuas com técnicas de entrega de malware para melhorarem suas chances de se ancorarem nas redes”, comenta Alex Holland, analista sênior de malware da HP Inc.
Outros resultados importantes do estudo incluem:
• Cavalos de Troia representaram 66% das amostras de malware analisadas, em grande parte impulsionados por campanhas de spam maliciosas que distribuíam o malware Dridex, cuja prevalência aumentou 239%, segundo postagem recente no blog da HP.
• 88% dos arquivos de malware detectados foram entregues por e-mail – sendo que as iscas mais comuns foram notas fiscais falsas anexadas –, enquanto os downloads na web foram responsáveis pelos outros 12%.
• Os tipos mais comuns de anexo malicioso foram: documentos (31%), arquivos (28%), planilhas (19%) e arquivos de execução (17%).
• Arquivos maliciosos executáveis cresceram 12%, com CVE-2017-11882 – uma falha de corrupção da memória no editor de equações do Microsoft Office – respondendo por quase três quartos dos exploits isolados pelo HP Sure Click.
• Um aumento de 12% nos malware que exploram a falha CVE-2017-0199, comumente usada para rodar scripts maliciosos para instalação de malware quando o usuário abre um documento do Office.
“No quarto trimestre, os invasores trocaram os documentos de Word por arquivos executáveis a fim de entregar RATs. Houve um aumento nas campanhas de e-mails maliciosos contra usuários alemães usando o Agent Tesla e RATs do Formbook, que entravam como executáveis anexos em e-mails”, continua Holland.
“O maior aumento foi das campanhas de Dridex, tipicamente usadas para implantação de ransomware. No final das contas, qualquer invasor que se ancorar em um endpoint é um mau sinal – ele pode usar esse acesso para roubar credenciais, movimentar-se lateralmente entre sistemas, exfiltrar dados ou vender esse acesso a outros criminosos cibernéticos –, então isso gera um risco imenso para as empresas”, conclui o Chefe global de Segurança.
