Aumenta o índice de impacto do malware que mais rouba dados e senhas no Brasil

A Check Point Research (CPR), divisão de Inteligência em Ameaças da Check Point Software, publicou o Índice Global de Ameaças referente a julho de 2024. Apesar de uma queda significativa em junho, o LockBit ressurgiu no mês passado para se tornar o segundo grupo de ransomware mais prevalente, enquanto o RansomHub manteve o primeiro lugar.

📲 😎SEJA VIP: Siga nosso canal no WhatsApp e receba conteúdos exclusivos

Além disso, os pesquisadores da CPR identificaram uma campanha global distribuindo o malware Remcos após um problema de atualização da CrowdStrike, e uma série de novas táticas do malware FakeUpdates, que mais uma vez ficou em primeiro lugar na lista global de malware mais popular de julho.

Um problema no sensor CrowdStrike Falcon para Windows levou os cibercriminosos a distribuírem um arquivo ZIP malicioso chamado crowdstrike[-]hotfix[.]zip. Este arquivo continha o carregador de malware HijackLoader, que posteriormente ativou o malware Remcos, classificado como o sétimo malware mais predominante em julho. A campanha teve como alvo empresas que usavam instruções no idioma espanhol e envolveu a criação de domínios falsos para ataques de phishing.

Em relação ao malware líder global de julho passado, os pesquisadores descobriram uma série de novas táticas empregando FakeUpdates. Os usuários que visitavam sites comprometidos encontraram avisos falsos de atualização do navegador, levando à instalação de trojans de acesso remoto (RATs) como o AsyncRAT, atualmente classificado em nono lugar no Índice Global de Ameaças da Check Point Software. De forma preocupante, os cibercriminosos agora começaram a explorar o BOINC (Berkeley Open Infrastructure for Network Computing), uma plataforma de software de código aberto que facilita a implementação de sistemas de computação voluntária para obter controle remoto sobre sistemas infectados.

“A persistência e o ressurgimento contínuos de grupos de ransomware, como Lockbit e RansomHub, ressaltam o foco constante dos cibercriminosos em ransomware, um desafio significativo para organizações com implicações de longo alcance para sua continuidade operacional e segurança de dados. A exploração recente de uma atualização de software de segurança para distribuir malware Remcos destaca ainda mais a natureza oportunista dos cibercriminosos para implantar malware, comprometendo ainda mais as defesas das organizações”, Maya Horowitz, vice-presidente de pesquisa da Check Point Software.

“Para combater essas ameaças, as organizações precisarão adotar uma estratégia de segurança de múltiplas camadas que inclua proteção de endpoint robusta, monitoramento rigoroso e educação do usuário para reduzir esses ataques cibernéticos cada vez mais massivos”, conclui Maya.

Principais famílias de malware

As setas referem-se à mudança na classificação em comparação com o mês anterior

O FakeUpdates foi o malware mais prevalente na lista global em julho de 2024 com um impacto de 7% nas organizações mundiais, seguido pelo Androxgh0st com um impacto global de 5% e do AgentTesla com um impacto global de 3%.

Top 3 global

↔ FakeUpdates – FakeUpdates (também conhecido como SocGholish) é um downloader escrito em JavaScript. Ele grava as cargas no disco antes de iniciá-las. FakeUpdates levou a comprometimentos adicionais por meio de muitos malwares adicionais, incluindo GootLoader, Dridex, NetSupport, DoppelPaymer e AZORult.

↔ Androxgh0st – Androxgh0st é um botnet direcionado às plataformas Windows, Mac e Linux. Para a infecção inicial, o Androxgh0st explora múltiplas vulnerabilidades, visando especificamente o PHPUnit, o Laravel Framework e o Apache Web Server. O malware rouba informações confidenciais, como dados da conta Twilio, credenciais SMTP, chave AWS, entre outros. Ele usa arquivos Laravel para coletar as informações necessárias. Possui diferentes variantes que procuram informações diferentes.

↔ AgentTesla – AgentTesla é um RAT avançado que funciona como um keylogger e ladrão de informações, capaz de monitorar e coletar as entradas do teclado da vítima, do teclado do sistema, tirar capturas de tela e exfiltrar credenciais para uma variedade de softwares instalados na máquina da vítima (incluindo Google Chrome, Mozilla Firefox e o cliente de e-mail Microsoft Outlook).

A lista global completa das dez principais famílias de malware em julho de 2024 pode ser encontrada no blog da Check Point Software.

Principais vulnerabilidades exploradas em julho

Top 3 global

↑ Command Injection Over HTTP (CVE-2021-43936,CVE-2022-24086) – Uma vulnerabilidade de injeção de comando sobre HTTP foi relatada. Um atacante remoto pode explorar esse problema enviando uma solicitação especialmente criada para a vítima. A exploração bem-sucedida permitiria que um atacante executasse código arbitrário na máquina alvo.

↑ Zyxel ZyWALL Command Injection (CVE-2023-28771) – Existe uma vulnerabilidade de injeção de comando no Zyxel ZyWALL. A exploração bem-sucedida dessa vulnerabilidade permitiria que atacantes remotos executassem comandos arbitrários do sistema operacional no sistema afetado.

↑ HTTP Headers Remote Code Execution (CVE-2020-10826,CVE-2020-10827,CVE-2020-10828,CVE-2020-1375) – Os cabeçalhos HTTP permitem que o cliente e o servidor passem informações adicionais com uma solicitação HTTP. Um atacante remoto pode usar um cabeçalho HTTP vulnerável para executar um código arbitrário na máquina da vítima.

Principais malwares móveis

↔ Joker – É um spyware Android no Google Play, projetado para roubar mensagens SMS, listas de contatos e informações de dispositivos. Além disso, o malware contrata a vítima silenciosamente para serviços premium em sites de publicidade.