Os cibercriminosos por trás de uma campanha chamada DEAD#VAX estão levando o phishing um passo adiante, distribuindo malware dentro de discos rígidos virtuais que se disfarçam de documentos PDF comuns. Abra a “fatura” ou o “pedido de compra” errado e você não verá documento algum. Em vez disso, Windows Monta uma unidade virtual que instala silenciosamente o AsyncRAT , um Trojan backdoor que permite que invasores monitorem e controlem seu computador remotamente.
É uma ferramenta de acesso remoto, o que significa que os invasores obtêm controle remoto do teclado, enquanto as defesas tradicionais baseadas em arquivos não detectam quase nada de suspeito no disco.
De um ponto de vista geral, a cadeia de infecção é longa, mas cada etapa parece legítima o suficiente para passar despercebida em verificações casuais.
As vítimas recebem e-mails de phishing que parecem mensagens comerciais rotineiras, muitas vezes fazendo referência a ordens de compra ou faturas e, às vezes, se passando por empresas reais. O e-mail não anexa um documento diretamente. Em vez disso, ele contém um link para um arquivo hospedado no IPFS (InterPlanetary File System), uma rede de armazenamento descentralizada cada vez mais utilizada em campanhas de phishing porque o conteúdo é mais difícil de ser removido e pode ser acessado através de gateways da web normais.
O arquivo vinculado está nomeado como PDF e possui o ícone de PDF, mas na verdade é um arquivo de disco rígido virtual (VHD). Quando o usuário clica duas vezes nele, Windows Monta o disco como uma nova unidade (por exemplo, unidade E:) em vez de abrir um visualizador de documentos. Montar VHDs é perfeitamente legítimo. Windows comportamento, o que torna essa etapa menos propensa a gerar alarmes.
Dentro da unidade montada encontra-se o que parece ser o documento esperado, mas na verdade é um Windows Arquivo de script (WSF). Quando o usuário o abre, Windows Executa o código no arquivo em vez de exibir um PDF.
Após algumas verificações para evitar análise e detecção, o script injeta a carga útil — o shellcode AsyncRAT — em processos confiáveis e assinados pela Microsoft, como RuntimeBroker.exe, OneDrive.exe, taskhostw.exeou sihost.exeO malware nunca grava um arquivo executável real no disco. Ele reside e é executado inteiramente na memória dentro desses processos legítimos, tornando a detecção e, eventualmente, em um estágio posterior, a análise forense muito mais difíceis. Ele também evita picos repentinos de atividade ou uso de memória que poderiam chamar a atenção.
Para um usuário individual, cair nesse e-mail de phishing pode resultar em:
- Theft de senhas salvas e digitadas, incluindo as de e-mail, bancos e redes sociais.
- Exposição de documentos confidenciais, fotos ou outros arquivos sensíveis retirados diretamente do sistema.
- Vigilância por meio de capturas de tela periódicas ou, quando configurado, captura pela webcam.
- Utilização da máquina como ponto de apoio para atacar outros dispositivos na mesma rede doméstica ou empresarial.
Como se manter seguro
Como a detecção pode ser difícil, é fundamental que os usuários apliquem certas verificações:
- Não abra anexos de e-mail antes de verificar, com uma fonte confiável, se eles são legítimos.
- Certifique-se de que consegue ver o extensões de arquivo. Infelizmente, Windows permite que os usuários os ocultem. Então, quando na realidade o arquivo seria chamado
invoice.pdf.vhdo usuário só veriainvoice.pdfPara saber como fazer isso, veja abaixo. - Use uma solução antimalware atualizada e em tempo real, capaz de detectar malware oculto na memória.
Exibindo extensões de arquivo em Windows 10 e 11
Para exibir as extensões de arquivo em Windows 10 e 11:
- Abra o Explorador ( Windows tecla + E)
- Em Windows 10. Selecione Exibir e marque a caixa Extensões de nome de arquivo .
- Em Windows 11, isso pode ser encontrado em Exibir > Mostrar > Extensões de nomes de arquivos .
Como alternativa, procure por Opções do Explorador de Arquivos para desmarcar a opção Ocultar extensões para tipos de arquivos conhecidos.
Para versões mais antigas de Windows , consulte este artigo .
Desde a denúncia de ameaças até a sua remoção.
Os riscos de cibersegurança nunca devem ir além das manchetes. Mantenha as ameaças longe dos seus dispositivos baixando Malwarebytes hoje mesmo .
