Hackers estão se voltando para esta técnica simples para instalar seu malware em PCs

Pesquisadores de cibersegurança alertam sobre grupos de hackers usando cada vez mais uma técnica simples que parece funcionar.

Grupos de hackers apoiados pelo Estado-nação estão explorando uma nova técnica simples, mas eficaz, para alimentar campanhas de phishing para espalhar malware e roubar informações que são de interesse de seus governos.

Pesquisadores de cibersegurança da Proofpoint dizem que grupos avançados de ameaças persistentes (APT) que trabalham em nome de interesses russos, chineses e indianos estão usando injeções de modelos de formato de texto rico (RTF).

Embora o uso de anexos de arquivos de texto RTF em e-mails de phishing não seja novo, a técnica que está sendo usada pelos hackers é mais fácil de implantar e mais eficaz porque é mais difícil para o software antivírus detectar – e muitas organizações não bloqueiam arquivos RTF por padrão porque fazem parte das operações comerciais cotidianas.

VEJA: Uma estratégia vencedora para cibersegurança (relatório especial ZDNet)

A técnica é a injeção de modelo RTF. Alterando as propriedades de formatação de documentos de um arquivo RTF, é possível que os invasores armarem um arquivo RTF para recuperar conteúdo remoto de uma URL controlada pelos invasores, permitindo que eles recuperem secretamente uma carga de malware que é instalada na máquina da vítima.

Os atacantes podem usar injeções de modelo RTF para abrir documentos no Microsoft Word, que usará a URL maliciosa para recuperar a carga útil e, ao mesmo tempo, usar o Word para exibir o documento chamariz.

Essa abordagem pode exigir atrair os usuários para permitir a edição ou permitir que o conteúdo inicie o processo de download da carga útil, mas com a forma certa de engenharia social, especialmente na parte de trás de uma isca convincente, uma vítima pode ser enganada para permitir que esse processo ocorra.

Não é uma técnica complexa, mas por ser simples e confiável de usar, tornou-se popular com várias operações de hackers do estado-nação, que podem implantar ataques rtf em vez de outros ataques mais complexos, mas ainda obter os mesmos resultados.

Apesar da designação “Avançada”, se os atores da APT estiverem fazendo seu trabalho bem, eles exercerão a menor quantidade de recursos e sofisticação necessárias para obter acesso às organizações, disse Sherrod DeGrippo, vice-presidente de pesquisa e detecção de ameaças da Proofpoint.

“Isso impede que os atores expovam ferramentas mais sofisticadas se descobertas, resultando em uma maior interrupção operacional para grupos de atores de ameaças substituirem capacidades técnicas quando descobertos”, acrescentou.

De acordo com os pesquisadores, a primeira instância conhecida de um grupo APT usando injeções de modelo RTF em uma campanha foi em fevereiro de 2021. Essas injeções foram realizadas pela DoNot Team, um grupo APT que tem sido ligado aos interesses do Estado indiano.

Desde então, várias outras operações de hackers ligadas ao Estado também foram vistas implantando injeções de RTF como parte de campanhas. Estes incluem um grupo que o Proofpoint se refere como TA423, também conhecido como Leviatã,que é um grupo ATP ligado à China, que tem usado ataques de RTF em várias campanhas desde abril.

VEJA: Bandidos da dark web estão agora ensinando cursos sobre como construir botnets

Uma dessas campanhas ocorreu em setembro e teve como alvo entidades na Malásia relacionadas ao setor de exploração de energia – e veio com e-mails de phishing especificamente projetados para atrair alvos para executar inadvertidamente a carga.

Então, em outubro, pesquisadores avistaram Gamaredon – um grupo ofensivo de hackers que foi ligado ao Serviço Federal de Segurança Russo (FSB) que usa documentos de injeção de modelos RTF em ataques, que se passavam pelo Ministério da Defesa ucraniano.

Embora apenas um punhado de grupos APT tenham tentado implantar ataques baseados em RTF até agora, os pesquisadores alertam que a eficácia da técnica combinada com sua facilidade de uso provavelmente impulsionará sua adoção ainda mais no cenário de ameaças – e isso pode significar que campanhas que aproveitam essa técnica são adotadas por criminosos cibernéticos motivados financeiramente.

“A facilidade de armamento nesta técnica também provavelmente atrairá atores de baixa e baixa sofisticação, expandindo a presença dessa técnica na natureza, incluindo atores de crimeware”, disse DeGrippo.