Os cibercriminosos por detrás de uma campanha chamada DEAD#VAX estão a levar o phishing um passo mais longe, distribuindo malware dentro de discos rígidos virtuais que se disfarçam de documentos PDF comuns. Abra a “fatura” ou o “pedido de compra” errado e não verá qualquer documento. Em vez disso, Windows Monta uma unidade virtual que instala silenciosamente o AsyncRAT , um Trojan backdoor que permite aos atacantes monitorizar e controlar o seu computador remotamente.
É uma ferramenta de acesso remoto, o que significa que os invasores obtêm controlo remoto do teclado, enquanto as defesas tradicionais baseadas em ficheiros não detectam quase nada de suspeito no disco.
De um ponto de vista geral, a cadeia de infeção é longa, mas cada etapa parece suficientemente legítima por si só para passar despercebida em verificações casuais.
As vítimas recebem e-mails de phishing que parecem mensagens comerciais rotineiras, muitas vezes referindo-se a ordens de compra ou faturas e, às vezes, falsificando empresas reais. O e-mail não anexa um documento diretamente. Em vez disso, ele contém um link para um ficheiro hospedado no IPFS (InterPlanetary File System), uma rede de armazenamento descentralizada cada vez mais utilizada em campanhas de phishing porque o conteúdo é mais difícil de remover e pode ser acessado através de gateways web normais.
O ficheiro ligado está nomeado como PDF e tem o ícone PDF, mas na verdade é um ficheiro de disco rígido virtual (VHD). Quando o utilizador clica duas vezes sobre ele, Windows Monta o disco como uma nova unidade (por exemplo, unidade E:) em vez de abrir um visualizador de documentos. Montar VHDs é perfeitamente legítimo. Windows comportamento, o que torna esta etapa menos propensa a gerar alarmes.
No interior da unidade montada encontra-se o que parece ser o documento esperado, mas na realidade é um Windows Ficheiro de script (WSF). Quando o utilizador o abre, Windows Executa o código no ficheiro em vez de apresentar um PDF.
Após algumas verificações para evitar análise e deteção, o script injeta a carga útil — shellcode AsyncRAT — em processos confiáveis e assinados pela Microsoft, como RuntimeBroker.exe, OneDrive.exe, taskhostw.exe, ou sihost.exe. O malware nunca grava um ficheiro executável real no disco. Ele reside e é executado inteiramente na memória dentro desses processos legítimos, tornando a deteção e, eventualmente, numa fase posterior, a análise forense muito mais difíceis. Ele também evita picos repentinos de atividade ou uso de memória que poderiam chamar a atenção.
Para um utilizador individual, cair neste e-mail de phishing pode resultar em:
- Theft de palavras-passe guardadas e digitadas, incluindo as de e-mail, bancos e redes sociais.
- Exposição de documentos confidenciais, fotos ou outros ficheiros sensíveis retirados diretamente do sistema.
- Vigilância através de capturas de ecrã periódicas ou, quando configurado, captura pela webcam.
- Utilização da máquina como ponto de apoio para atacar outros dispositivos na mesma rede doméstica ou empresarial.
Como se manter seguro
Como a deteção pode ser difícil, é fundamental que os utilizadores apliquem determinadas verificações:
- Não abra anexos de e-mail antes de verificar, com uma fonte confiável, se eles são legítimos.
- Certifique-se de que consegue ver o extensões de ficheiros. Infelizmente, Windows permite que os utilizadores os ocultem. Assim, quando na realidade o ficheiro seria chamado
invoice.pdf.vhdo utilizador só veriainvoice.pdf. Para saber como fazer isso, veja abaixo. - Use uma solução antimalware atualizada e em tempo real, capaz de detectar malware oculto na memória.
Exibindo extensões de ficheiros em Windows 10 e 11
Para visualizar as extensões de ficheiro em Windows 10 e 11:
- Abra o Explorador ( Windows tecla + E)
- Em Windows 10.º Selecione Ver e marque a caixa Extensões de nome de ficheiro .
- Em Windows 11, este pode ser encontrado em Ver > Mostrar > Extensões de nomes de ficheiros .
Em alternativa, procure por Opções do Explorador de Ficheiros para desmarcar a opção Ocultar extensões para tipos de ficheiros conhecidos.
Para versões mais antigas de Windows , consulte este artigo .
Desde a denúncia de ameaças até à sua remoção.
Os riscos de cibersegurança nunca devem ir além das manchetes. Mantenha as ameaças longe dos seus dispositivos , descarregando hoje mesmo Malwarebytes .
