A Equipe Global de Pesquisa e Análise (GReAT), da Kaspersky, descobriu três novos malware em seu último relatório: ScarletStealer, Acrid e uma forma atualizada do Sys01. O primeiro citado já foi detectado mais de 100 vezes no Brasil neste ano, fazendo o país o segundo mais atacado pelo malware – atrás apenas da China. Ele é conhecido também como “CryptoSwap” e está direcionado principalmente a clientes de carteiras de criptomoedas. Confira mais informações sobre as três novas descobertas abaixo.
O ScarletStealer teve sua segunda maior detecção no Brasil, com 123 bloqueios somente neste ano. O malware atua em dois estágios: o primeiro é feito logo após a infecção inicial e basicamente é um scan do sistema para identificar a existência de determinados estruturas de pastas que indicam a existência de carteiras digitais – que é o foco desse malware. Caso sejam encontradas, o próprio malware baixa um segundo módulo que será responsável por realizar o roubo das criptomoedas.
O malware é subdesenvolvido em termos de funcionalidade e contém muitos erros, falhas e códigos redundantes. Um exemplo de redundância é a criação de chaves de registros para execução automática do próprio programa malicioso – assim a infecção é refeita sem a necessidade de uma nova ação do criminoso. Apesar de suas deficiências, as vítimas do ScarletStealer se estendem por todo o mundo, com concentrações na China, Brasil, Turquia e EUA.
O Acrid é escrito para o sistema operacional de 32 bits, apesar da maioria dos sistemas atuais serem de 64 bits. Após uma inspeção mais detalhada do malware pelos especialistas da Kaspersky, o motivo da compilação para um ambiente de 32 bits ficou claro: o autor decidiu usar a técnica “Heaven’s Gate”, que permite que aplicativos de 32 bits acessem o espaço de 64 bits para contornar determinados controles de segurança e afetar o maior número possível de máquinas.
Em termos de funcionalidade, o malware incorpora o que se espera de um stealer: roubar dados do navegador (cookies, senhas, dados de login, informações de cartão de crédito etc.), carteiras locais de criptomoedas, arquivos específicos e credenciais de aplicativos instalados. Embora moderadamente sofisticado, com criptografia de cadeia de caracteres, o Acrid carece de recursos inovadores.
O terceiro stealer mais predominante é o anteriormente conhecido como Album Stealer ou S1deload Stealer. O Sys01 é um stealer relativamente desconhecido e que existe desde, pelo menos, 2022. Seu vetor de infecção é atrair usuários a baixarem arquivos ZIP maliciosos disfarçados de conteúdo adulto, por meio de uma página do Facebook. Agora, ele consegue roubar dados relacionados ao Facebook e enviar dados roubados do navegador, localizados e organizados em uma estrutura de diretório específica para o C2. Também possui funções de backdoor, podendo fazer o download e executar arquivos específicos. As vítimas desta campanha foram encontradas em todo o mundo, mas a maioria delas estava localizada na Argélia (pouco mais de 15%).
“O surgimento desses novos “stealers” serve como um lembrete gritante da demanda insaciável dentro do submundo do crime por ferramentas que facilitam o roubo de dados. Com o potencial de consequências terríveis, como perdas financeiras e violações de privacidade, é importante que indivíduos e organizações permaneçam vigilantes e adotem medidas proativas de cibersegurança. A Kaspersky aconselha fortemente manter o software atualizado, ter cautela durante downloads de arquivos e aberturas de anexos e explorar soluções de segurança robustas para fortalecer as defesas contra ameaças em constante evolução”, comenta Fabio Assolini, diretor da Equipe Global de Pesquisa e Análise da Kaspersky para a América Latina.
Para prevenir ciberameaças financeiras, a Kaspersky recomenda:
- Use uma solução de segurança confiável, como o Kaspersky Premium, que oferece proteção contra malware, uma VPN rápida e ilimitada e pode detectar ameaças em qualquer lugar.
- Utilize o Kaspersky Digital Footprint Intelligence para monitoramento do “underground”, onde os dados roubados de stealers são vendidos –monitoramento contínuo de dezenas de recursos da dark web.
- Também é importante utilizar proteções de carteira crypto, como autenticação de dois fatores, transações de criptomoedas separadas de contas pessoais, atualizações automáticas e um antivírus de qualidade.
Para saber mais sobre o tema, visite Securelist.com.
Sobre a Kaspersky
A Kaspersky é uma empresa global de cibersegurança e privacidade digital fundada em 1997. Com mais de um bilhão de dispositivos protegidos contra ciberameaças emergentes e ataques direcionados, seu profundo conhecimento do panorama de inteligência de ameaças e a sua experiência em segurança estão constantemente se transformando em soluções e serviços inovadores para proteger empresas, infraestruturas críticas, governos e pessoas em todo o mundo. O portfólio abrangente de segurança da empresa inclui proteção líder para endpoint, produtos e serviços de segurança especializados, bem como soluções de Ciberimunidade para combater ameaças digitais sofisticadas e em evolução. Ajudamos mais de 220.000 clientes corporativos a proteger o que lhes é mais importante. Mais informações no site.
