Guillem Alsina Gonzàlez
Os investigadores de segurança da Kaspersky detetaram uma campanha de distribuição de software malicioso através das versões para computador e web do WhatsApp, que afeta utilizadores de várias regiões que continua ativa à data da redação deste artigo.
A equipa de Análise e Investigação Global da empresa russa dedicada à cibersegurança traçou a operação inicial desta intrusão. O método de ataque baseia-se no envio de anexos que simulam ser documentos corporativos a partir de contas de mensagens previamente comprometidas. Para conferir maior credibilidade à comunicação e facilitar a sua penetração no mercado europeu e noutras zonas geográficas, os atacantes utilizam nomes de ficheiros que parecem ser faturas, extratos bancários, avisos de dívida ou comprovativos de pagamento, adaptando-os a idiomas como o inglês, o francês, o alemão, o português e o malaio. Ao receber a mensagem de um contacto da sua própria lista de contactos, o destinatário tende a considerar válida a legitimidade da mensagem.
Segundo detalham os analistas responsáveis pela descoberta, os atacantes exploram esta relação de confiança para levar o profissional a interagir com o ficheiro. As provas técnicas revelam que esses anexos são, na realidade, sequências de comandos programadas em VBScript. Para minimizar as suspeitas iniciais, estes ficheiros incorporam metadados e comentários internos concebidos para se fazerem passar por componentes padronizados das atualizações do sistema operativo Windows.
Assim que o utilizador executa o suposto documento, é desencadeado um processo de intrusão estruturado em várias etapas. Numa primeira fase, o ficheiro inicial cria um diretório de trabalho temporário no computador e procede ao download de elementos adicionais a partir de servidores externos controlados por terceiros, executando-os através das ferramentas nativas do próprio sistema operativo.
A cadeia de infeção culmina com a instalação silenciosa de ferramentas legítimas de administração remota que conferem aos atacantes o controlo total dos equipamentos afetados. Nos incidentes concretos desta campanha, foi identificada a implantação não autorizada do pacote de instalação correspondente à plataforma empresarial ManageEngine Endpoint Central.
A utilização deste tipo de programas, originalmente concebidos para a gestão lícita de redes, a distribuição de software ou o suporte técnico empresarial, consolidou-se como uma tática recorrente para mascarar atividades ilícitas perante as soluções de defesa perimetral.
Face ao alcance deste tipo de operações, os especialistas aconselham os responsáveis pela tecnologia a reforçarem as diretrizes de precaução perante a receção de comunicações inesperadas através de canais de mensagens instantâneas, além de recomendarem a implementação de políticas rigorosas para evitar a abertura de ficheiros com extensões executáveis ou de sequências de comandos sem uma verificação exaustiva da sua proveniência real, recorrendo sempre a plataformas de proteção avançadas nos postos de trabalho para bloquear a cadeia de execução deste tipo de ameaças.
