Spyware operadoras

Uma campanha de phishing para operadores de rede usa um anexo em PDF para oferecer spyware.Uma campanha destinada a uma infra-estrutura de rede doméstica que falsifica um anexo em PDF para entregar o spyware Adwind.O Adwind, também conhecido como JRAT ou SockRat, é usado nesta campanha em um modelo de malware como serviço, disseram os pesquisadores. Ele oferece um conjunto completo de recursos de coleta de informações, incluindo capturas de tela, credenciais de coleta do Chrome, IE e Microsoft Edge, gravação de vídeo e áudio, captura de fotos, roubo de arquivos, registro de chaves, leitura de e-mails e roubo de certificados VPN.“ As instalações críticas de infraestrutura são alvos de alto risco, e o fato de o Adwind estar disponível como serviço pago é muito preocupante”, disse ao Threatpost Bob Noel, vice-presidente de relações estratégicas da Plixer. “Qualquer pessoa que queira pagar pode ter como alvo os utilitários e, quando tiver êxito, poderá coletar pressionamentos de teclas, roubar senhas, capturar capturas de tela, tirar fotos da câmera da web, gravar som etc. Se os usuários finais infectados tiverem acesso a informações críticas do sistema, poderia ser roubado e usado na tentativa de atacar a instalação. "

Segundo o pesquisador da Cofense, Milo Salvia, o e-mail de phishing foi enviado de uma conta invadida na Friary Shoes. Ele simplesmente diz: 'Uma cópia da nossa notificação de encaminhamento anexada, que você deve assinar e devolver', com um botão interno que se destina a apontar para um arquivo PDF.

No entanto, quando uma vítima clica no botão, ela é enviada de volta para um endereço da Web malicioso; em uma análise na segunda-feira, Salvia escreveu que os cibercriminosos abusam do domínio Fletcher Specs para hospedar o malware. Quando a vítima chega na máquina de destino, uma carga útil é baixada automaticamente.A campanha de carga útil inicial possui uma extensão de arquivo PDF falsa para ocultar que na verdade é um arquivo.JAR. Ele cria dois processos Java.exe em segundo plano, que carregam dois arquivos Adwind separados. De acordo com Salvia, ele é direcionado ao servidor de comando e controle (C2).E o pesquisador escreveu que tenta permanecer escondido de outro arquivo executável chamado takskill.exe, que procura ferramentas populares de análise de antivírus e malware e as desativa.

O Adwind tornou uma marca registrada ignorar e desativar as ferramentas de segurança. Uma nova variante surgiu no ano passado, que utilizou uma nova tecnologia para a injeção do código Dynamic Data Exchange (DDE) para evasão antivírus." Enganar os usuários finais a clicar em links ou anexos maliciosos continua sendo o meio mais bem-sucedido para que maus atores obtenham acesso", disse Noel. “Como é o caso do trojan de acesso remoto Adwind, uma vez que o malware chega ao dispositivo, muitas vezes ele tem a capacidade de desativar antivírus e outros tipos de agentes de detecção de terminais carregados no dispositivo. "