Programas falsos do Windows tentam infectar computadores

Duas provas de conceito relacionadas a falhas do Windows na verdade se mostraram falsos programas feitos com o propósito de infectar sistemas de quem fossem experimentá-las com backdoors provenientes da conhecida ferramenta de testes de penetração Cobalt Strike, já utilizado por criminosos para implantação dessas ameaças em máquinas.

• Google Chat avisará usuários sobre links perigosos
• Entenda o que é backdoor e a diferença com os trojans

A situação teve início na semana do dia 16 de maio, quando um desenvolvedor desconhecido disponibilizou no GitHub provas de conceito referentes as falhas CVE-2022-24500 e CVE-2022-26809, que permitiam execução de código remoto nas máquinas, recentemente corrigidas pela Microsoft em atualizações para o sistema operacional.

A disponibilização de provas de conceito após a correção de falhas é uma prática comum no mundo da segurança virtual, o que inicialmente fez com que nenhuma suspeita fosse levantada sobre os códigos disponibilizados no GitHub. Porém, conforme os dois exemplos fossem se espalhando pela comunidade de programadores, evidências que elas eram falsas e na verdade estavam instalando backdoors foram sendo identificadas.

Basicamente, a prova de conceito, ao ser executada, roda uma aplicação .NET no Windows que altera temporariamente o IP do sistema permitindo que a backdoor do Cobalt Strike seja implantada na memória, permitindo assim que criminosos tenham acesso à máquina para outros ataques, que podem variar desde implantação de malwares espiões até o sequestro digital, o conhecido ransomware. Ambos os falsos códigos já foram removidas da plataforma de programadores, além do usuário responsável ter sido banido dela.

Ataque tem como alvo a comunidade de segurança digital

Pela forma que a backdoor está sendo distribuída, através de falsas provas de conceito sobre falhas do Windows, é possível afirmar que o controlador do ataque tem como alvo específico os membros da comunidade de segurança de informação.

A firma de segurança virtual Cyble, que analisou as falsas provas de conceito, disponibilizou algumas dicas para que membros dessa comunidade se protejam desse tipo de ataques. Compartilhamos elas a seguir:

• Evitar baixar arquivos de sites desconhecidos;
• Não abrir links ou anexos de e-mail de fontes não verificadas;
• Monitorar a rede para observar qualquer ação que possa envolver exfiltração atípica de dados;
• Em empresas, educar funcionários sobre os perigos de golpes como phishing e ransomware.

Fonte: Cyble