Novo golpe se passa por atualização de Google Chrome para obter controle de PCs

 

Hackers usam convites falsos do Teams, Zoom e atualizações de navegador para instalar acesso remoto e aplicar golpes

Você atualiza regularmente o Google Chrome ou o Microsoft Teams? Se sim, pode se tornar alvo de um novo golpe de phishing sem perceber. Uma nova técnica explorada por cibercriminosos usa pedidos falsos de atualização de programas usados no dia a dia, para instalar ferramentas de Monitoramento e Gerenciamento Remoto (RMM), e obter acesso ilimitado aos dispositivos para aplicar ataques de malware e ransomware.

Uma pesquisa conduzida pela Red Canary Intelligence e pela Zscaler relato cada vez mais incidência de ataques que instalam ferramentas de RMM legítimas, como ITarian, PDQ, SimpleHelp, e Atera, para conseguir acesso a dispositivos – principalmente aqueles ligados a corporações. As técnicas variam e podem usar atualizações de aplicativos de navegação, convites para reuniões e festas e até mesmo formulários do governo para enganar as vítimas.

Links afetados não carregam o conteúdo até usuário concordar em fazer a falsa atualização. Foto: Red Canary Intelligence

O golpe é construído para impedir que o usuário acesse um site por “falta de atualização do navegador”, assim, é necessário baixar o conteúdo exposto na página para prosseguir com a navegação. O que as empresas de segurança perceberam é que páginas de esportes e de sistemas de saúde foram bastante exploradas nesta campanha. 

Um dos principais componentes dessa cadeia de ataque é o JavaScript injetado no site comprometido. Também foi possível identificar no código da página, a sobreposição de iframe - que permite incorporar uma página da web ou documento HTML dentro de outra página, como uma janela para outros conteúdos - que combina várias técnicas de evasão para enganar os usuários e rastrear suas interações.

O script da página enviava para os criminosos dados como:

• Dados de impressão digital do navegador para rastreamento entre sessões;
• Indicadores de geolocalização por meio de configurações de idioma;
• Métricas de engajamento para otimizar a eficácia do ataque;
• Hash de rastreamento exclusivo sugerindo gerenciamento organizado da campanha.

Convites e formulários escondiam ferramentas de acesso remoto

Outra técnica explorada é dos convites, tanto para reuniões no Zoom ou no Teams, ou até para festas. Os criminosos usam convites falsos para reuniões para dizer que não é possível se juntar à reunião pela falta de atualização do aplicativo. As ferramentas RMM vinham com essas instalações de software legítimas ou se passavam por instaladores de software de reunião. Além disso, os downloads do instalador têm nomes apropriados para o software (por exemplo, MicrosoftTeams.msi), para se misturarem ainda mais.

Nos convites para festas ou eventos, a lógica é a mesma, mas o ataque explora curiosidade e desejo de participar. O link pode prometer um ingresso exclusivo ou uma promoção, mas, na verdade, instala malware ou dá acesso ao hacker. Esses golpes são perigosos porque parecem normais, fazem parte do dia a dia, e muita gente nem percebe que caiu na armadilha. A dica é sempre desconfiar de links e arquivos inesperados, validar convites direto na plataforma e não instalar nada fora do padrão da empresa ou do seu computador.

Outra tendência é o uso de iscas de phishing que se fazem passar por formulários do governo dos EUA. Nessa campanha, o tipo de formulário governamental falsificado variou e incluiu extratos do Seguro Social, formulários W9 e declarações de imposto de renda. O RMM baixado também variou, sendo os mais observados o PDQ Connect, o SimpleHelp e o ScreenConnect. Assim como em outras iscas, alguns casos observados envolveram o adversário executando várias ferramentas RMM.

Como se proteger?

É possível se proteger dessas campanhas, que são particularmente perigosas por serem praticamente invisíveis - só identificadas quando os hackers usam as informações adquiridas para ameaçar e extorquir empresas, por exemplo. Para se proteger, é recomendável:

• Monitorar o uso de ferramentas de RMM: manter uma lista aprovada de ferramentas de RMM e monitorar o uso de ferramentas não autorizadas;
• Educar os usuários: treinar os usuários para reconhecer e-mails e mensagens suspeitas e evitar clicar em links ou baixar anexos de fontes desconhecidas;
• Implementar controles de segurança: utilizar ferramentas de segurança, como antivírus e firewalls, para detectar e bloquear atividades maliciosas.

Para ler mais notícias como essa, acompanhe o TecMundo nas redes sociais e no YouTube. Assine nossa newletter e receba mais informações sobre tecnologia e segurança.

Novo golpe se passa por atualização de Google Chrome para obter controle de PCs | Seguranca