){kind=small}
)
Uma onda de ataques cibernéticos usa falsas atualizações de softwares populares de empresas como Adobe e Zoom para instalar programas de gerenciamento remoto de forma silenciosa. A campanha foi batizada como “Smoke Screen” pelos pesquisadores de segurança da Securonix.
O esquema se aproveita do fato de que essas ferramentas de acesso remoto são comuns e legítimas no ambiente corporativo, o que permite que os invasores burlem os controles de segurança convencionais e mantenham o controle dos computadores infectados sem precisar criar um programa malicioso do zero.
Nossos vídeos em destaque
Como funcionam os ataques e a evolução dos métodos
Especialistas em segurança digital, Shikha Sangwan, Akshay Gaikwad e Aaron Beardslee descobriram que a operação utiliza diferentes tipos de arquivos e páginas falsas na internet para atrair as vítimas e entregar os programas maliciosos.
“A campanha recorre a um kit de ferramentas de instaladores, arquivos de script, programas executáveis e uma página de phishing, todos apontando no final para um servidor central ativo”, explicaram, em relatório publicado pela Securonix.
)
Em momentos anteriores da campanha, os criminosos tentaram desativar diretamente as defesas de segurança do Windows e alterar configurações de proteção dos computadores. No entanto, atualizações recentes mostraram uma guinada em direção a táticas mais discretas para evitar a detecção por equipes de segurança, identificaram os pesquisadores.
“O que torna esta campanha particularmente notável para os defensores é o arco observável das técnicas do ator. De instaladores cautelosos a sequências agressivas de destruição de defesas e, mais recentemente, um retorno à furtividade com atrasos de tempo para burlar monitoramentos e pacotes criptografados autossuficientes, a campanha se lê como uma corrida armamentista em tempo real entre atacante e defensor”, destacou a equipe da Securonix.
Para conseguir infectar os computadores, os criminosos utilizam diferentes caminhos, que incluem desde e-mails falsos com scripts maliciosos até arquivos compactados ou páginas na internet que imitam centrais de atualização legítimas. No desfecho de todas as vias de ataque mapeadas pelos especialistas, o processo culmina na instalação de um cliente do programa ScreenConnect.
)
Esse agente se conecta a servidores operados pelos criminosos e abre uma sessão de área de trabalho remota no computador da vítima. Como o instalador oficial possui assinaturas digitais válidas, a ferramenta consegue passar pelos antivírus tradicionais baseados em reputação sem acionar alertas imediatos.
Para reduzir os riscos associados a esse tipo de ameaça, a equipe da Securonix recomenda que as organizações e os administradores de redes adotem medidas rígidas de controle. As orientações incluem restringir a execução de arquivos de instalação não confiáveis vindos de pastas comuns de usuários, monitorar tentativas de adulteração de produtos de segurança, auditar o uso legítimo de ferramentas de acesso remoto e verificar processos suspeitos em execução.
Por falar em falhas de segurança digital, o Arch Linux desativou envios a repositório de usuários após onda de ciberataque. Siga o TecMundo no X, Instagram, Facebook e YouTube e assine a nossa newsletter para receber as principais notícias e análises diretamente no seu e-mail.
)
)
)
)
)
)
)
)
)
)
)
)
)
)
)
)
)
)
)
