Os cibercriminosos por trás de uma campanha chamada DEAD#VAX estão levando o phishing um passo adiante, entregando malware dentro de discos rígidos virtuais que fingem ser documentos PDF comuns. Abra a “fatura” ou “ordem de compra” errada e você não verá nenhum documento. Em vez disso, Windows uma unidade virtual que instala silenciosamente o AsyncRAT, um cavalo de Troia backdoor que permite aos invasores monitorar e controlar remotamente o seu computador.
É uma ferramenta de acesso remoto, o que significa que os invasores obtêm controle remoto do teclado, enquanto as defesas tradicionais baseadas em arquivos não detectam quase nada de suspeito no disco.
De um ponto de vista geral, a cadeia de infecção é longa, mas cada etapa parece legítima o suficiente para passar despercebida em verificações casuais.
As vítimas recebem e-mails de phishing que parecem mensagens comerciais rotineiras, muitas vezes fazendo referência a ordens de compra ou faturas e, às vezes, se passando por empresas reais. O e-mail não anexa um documento diretamente. Em vez disso, ele contém um link para um arquivo hospedado no IPFS (InterPlanetary File System), uma rede de armazenamento descentralizada cada vez mais usada em campanhas de phishing porque o conteúdo é mais difícil de ser removido e pode ser acessado através de gateways da web normais.
O arquivo vinculado tem o nome de um PDF e o ícone de PDF, mas na verdade é um arquivo de disco rígido virtual (VHD). Quando o usuário clica duas vezes nele, Windows o Windows como uma nova unidade (por exemplo, unidade E:) em vez de abrir um visualizador de documentos. Montar VHDs é Windows perfeitamente legítimo Windows , o que torna essa etapa menos provável de despertar suspeitas.
Dentro da unidade montada está o que parece ser o documento esperado, mas na verdade é um arquivoWindows (WSF). Quando o usuário o abre, Windows o código no arquivo em vez de exibir um PDF.
Após algumas verificações para evitar análise e detecção, o script injeta a carga útil — o shellcode AsyncRAT — em processos confiáveis e assinados pela Microsoft, como RuntimeBroker.exe, OneDrive.exe, taskhostw.exeou sihost.exeO malware nunca grava um arquivo executável real no disco. Ele reside e é executado inteiramente na memória dentro desses processos legítimos, tornando a detecção e, eventualmente, em um estágio posterior, a análise forense muito mais difíceis. Ele também evita picos repentinos de atividade ou uso de memória que poderiam chamar a atenção.
Para um usuário individual, cair nesse e-mail de phishing pode resultar em:
- Theft senhas salvas e digitadas, incluindo senhas de e-mail, bancos e redes sociais.
- Exposição de documentos confidenciais, fotos ou outros arquivos sensíveis retirados diretamente do sistema.
- Vigilância por meio de capturas de tela periódicas ou, quando configurado, captura pela webcam.
- Utilização da máquina como ponto de apoio para atacar outros dispositivos na mesma rede doméstica ou empresarial.
Como se manter seguro
Como a detecção pode ser difícil, é fundamental que os usuários apliquem certas verificações:
- Não abra anexos de e-mail antes de verificar, com uma fonte confiável, se eles são legítimos.
- Certifique-se de que consegue ver o extensões de arquivo. Infelizmente, Windows que os usuários os ocultem. Portanto, quando na realidade o arquivo seria chamado
invoice.pdf.vhdo usuário só veriainvoice.pdfPara saber como fazer isso, veja abaixo. - Use uma solução antimalware atualizada e em tempo real, capaz de detectar malware oculto na memória.
Exibindo extensões de arquivo no Windows e 11
Para mostrar as extensões de arquivo no Windows e 11:
- Abrir o Explorer (Windows + E)
- No Windows , selecioneExibire marque a caixaExtensões denome de arquivo.
- No Windows , isso pode ser encontrado emExibir > Mostrar > Extensões de nome de arquivo.
Como alternativa, procure por Opções do Explorador de Arquivos para desmarcar a opção Ocultar extensões para tipos de arquivos conhecidos.
Para versões mais antigas do Windows, consulte este artigo.
Não nos limitamos a informar sobre as ameaças, nós as removemos
Os riscos de segurança cibernética nunca devem se espalhar além de uma manchete. Mantenha as ameaças longe de seus dispositivos fazendo o download Malwarebytes hoje mesmo.
