Um perigoso malware capaz de desativar sua proteção de segurança sem que você perceba agora está baixando criptomineiros em dispositivos vulneráveis. Essa campanha maliciosa, recentemente descoberta por pesquisadores de segurança cibernética, demonstra a crescente sofisticação e ameaça dos ataques cibernéticos modernos.
Três principais insights:
- O malware REF4578 é capaz de desativar programas antivírus instalados, permitindo a instalação de criptomineiros como o XMRig.
- Os atacantes exploram drivers vulneráveis para desativar a proteção de segurança e apagar logs de eventos.
- A campanha não parece ter alvos específicos, tornando todos os usuários potenciais vítimas.
Neste artigo, exploraremos em detalhes esse perigoso malware, como ele funciona e as melhores práticas para se proteger contra ameaças cibernéticas cada vez mais sofisticadas.
Um Ataque Silencioso e Lucrativo
A campanha REF4578, como foi batizada pelos pesquisadores da Elastic Security Labs e da Antiy, é uma operação silenciosa e lucrativa. Seu objetivo principal é instalar criptomineiros em dispositivos infectados, permitindo que os criminosos virtuais mineram criptomoedas como Monero (XMR) sem o conhecimento das vítimas.
Desativando a Proteção de Segurança
Para realizar sua tarefa maliciosa, o malware precisa primeiro desativar qualquer programa antivírus instalado no dispositivo alvo. Ele faz isso explorando drivers vulneráveis, como o aswArPots.sys (da Avast) e o IObitUnlockers.sys (da Iobit). Esses drivers são carregados, permitindo que o malware termine processos de Detecção e Resposta a Ameaças (EDR) e exclua executáveis associados.
Apagando Rastros e Permitindo Acesso Remoto
Além de desativar a proteção antivírus, o malware também tem a capacidade de desativar o Windows Defender, habilitar serviços remotos e apagar diferentes logs de eventos do Windows. Essas ações criam um ambiente perfeito para a instalação do criptomineiro XMRig, sem levantar suspeitas.
A Distribuição Misteriosa
Infelizmente, os pesquisadores ainda não conseguiram determinar exatamente como os atacantes estão distribuindo o malware REF4578. No entanto, especula-se que as técnicas mais prováveis sejam phishing, redes sociais, mensagens instantâneas, envenenamento de anúncios e até mesmo personificação.
O Processo de Infecção em Detalhes
O processo de infecção começa quando a vítima é enganada a executar um arquivo exe chamado Tiworker, que se mascara como um arquivo legítimo do Windows. Esse arquivo, por sua vez, baixa um script PowerShell chamado GhostEngine, que realiza uma série de atividades maliciosas.
O GhostEngine em Ação
O GhostEngine é o verdadeiro protagonista desse ataque. Ele é responsável por carregar os drivers vulneráveis, desativar o Windows Defender, habilitar serviços remotos e apagar logs de eventos. Depois de limpar o caminho, o GhostEngine implanta finalmente o criptomineiro XMRig no dispositivo infectado.
O Lucrativo XMRig
O XMRig é um dos criptomineiros mais populares entre os criminosos virtuais. Ele minera silenciosamente a criptomoeda Monero (XMR), famosa por sua privacidade e pseudonimato. Enquanto as vítimas não percebem, os atacantes acumulam lucros com o poder computacional roubado.
Posts que você deverá gostar:
Sinais de Alerta e Proteção
Para se proteger contra ameaças como o REF4578, os pesquisadores recomendam que as equipes de TI fiquem atentas a execuções suspeitas do PowerShell, atividades de processo incomuns e qualquer tráfego de rede apontando para pools de mineração de criptomoedas. Manter softwares e sistemas atualizados também é crucial para evitar a exploração de vulnerabilidades.
Conclusão: A Necessidade de Vigilância Constante
O malware REF4578 é um lembrete sombrio da crescente sofisticação e persistência dos criminosos cibernéticos. À medida que as técnicas de ataque evoluem, é essencial que indivíduos e organizações permaneçam vigilantes, mantenham suas defesas atualizadas e adotem uma postura proativa de segurança cibernética. Só assim poderemos proteger nossos dispositivos e dados contra ameaças como essa.
