A Equipe Global de Pesquisa e Análise (GReAT), da Kaspersky, descobriu três novos malware em seu último relatório: ScarletStealer, Acrid e uma forma atualizada do Sys01. O primeiro citado já foi detectado mais de 100 vezes no Brasil neste ano, fazendo o país o segundo mais atacado pelo malware – atrás apenas da China. Ele é conhecido também como “CryptoSwap” e está direcionado principalmente aos clientes de carteiras de criptomoedas. Confira mais informações sobre as três novas descobertas abaixo.
O ScarletStealer teve sua segunda maior detecção no Brasil, com 123 bloqueios somente neste ano. O malware atua em dois estágios: o primeiro é feito logo após a infecção inicial e basicamente é um scan do sistema para identificar a existência de determinados estruturas de pastas que indicam a existência de carteiras digitais – que é o foco desse malware. Caso sejam encontradas, o próprio malware baixa um segundo módulo que será responsável por realizar o roubo das criptomoedas.
O malware é subdesenvolvido em termos de funcionalidade e contém muitos erros, falhas e códigos redundantes. Um exemplo de redundância é a criação de chaves de registros para execução automática do próprio programa malicioso – assim a infecção é refeita sem a necessidade de uma nova ação do criminoso. Apesar de suas deficiências, as vítimas do ScarletStealer se estendem por todo o mundo, com concentrações na China, Brasil, Turquia e EUA.
O Acrid é escrito para o sistema operacional de 32 bits, apesar da maioria dos sistemas atuais serem de 64 bits. Após uma inspeção mais detalhada do malware pelos especialistas da Kaspersky, o motivo da compilação para um ambiente de 32 bits ficou claro: o autor decidiu usar a técnica “Heaven’s Gate”, que permite que aplicativos de 32 bits acessem o espaço de 64 bits para contornar determinados controles de segurança e afetar o maior número possível de máquinas.
Em termos de funcionalidade, o malware incorpora o que se espera de um stealer: roubar dados do navegador (cookies, senhas, dados de login, informações de cartão de crédito etc.), carteiras locais de criptomoedas, arquivos específicos e credenciais de aplicativos instalados. Embora moderadamente sofisticado, com criptografia de cadeia de caracteres, o Acrid carece de recursos inovadores.
O terceiro stealer mais predominante é o anteriormente conhecido como Album Stealer ou S1deload Stealer. O Sys01 é um stealer relativamente desconhecido, e existe desde, pelo menos, 2022. Seu vetor de infecção é atrair usuários a baixarem arquivos ZIP maliciosos disfarçados de conteúdo adulto, por meio de uma página do Facebook. Agora, ele consegue roubar dados relacionados ao Facebook e enviar dados roubados do navegador, localizados e organizados em uma estrutura de diretório específica para o C2. Também possui funções de backdoor, podendo fazer o download e executar arquivos específicos. As vítimas desta campanha foram encontradas em todo o mundo, mas a maioria delas estava localizada na Argélia (pouco mais de 15%).
“O surgimento desses novos “stealers” serve como um lembrete gritante da demanda insaciável dentro do submundo do crime por ferramentas que facilitam o roubo de dados. Com o potencial de consequências terríveis, como perdas financeiras e violações de privacidade, é importante que indivíduos e organizações permaneçam vigilantes e adotem medidas proativas de cibersegurança. A Kaspersky aconselha manter fortemente o software atualizado, ter cautela durante downloads de arquivos e aberturas de anexos e explorar soluções de segurança robustas para fortalecer as defesas contra ameaças em constante evolução”, comenta Fabio Assolini, diretor da Equipe Global de Pesquisa e Análise da Kaspersky para a América Latina.
Para prevenir ciberameaças financeiras, a Kaspersky recomenda usar uma solução de segurança confiável e proteções de carteira crypto, como autenticação de dois fatores, transações de criptomoedas separadas de contas pessoais, atualizações automáticas e um antivírus de qualidade.
