Uma nova e sofisticada campanha de phishing tem como alvo executivos de empresas com um ataque duplo que rouba credenciais e implanta malware que rouba informações em um único ataque coordenado.
O golpe do “Prêmio Executivo”, identificado desenvolvido por pesquisadores de segurança cibernética da Trustwave MailMarshal, representa uma evolução nas táticas de engenharia social ao combinar a coleta de credenciais com a implantação avançada de malware.
A campanha começa com um e-mail de phishing convincente que se faz passar pelo “Programa de Reconhecimento Cartier”, que presenteia as vítimas com um prémio de reconhecimento executivo.
O e-mail contém uma senha protegida Arquivo ZIP com detalhes personalizados projetados para parecerem legítimos, incentivando os destinatários a abrir um “pacote digital seguro” anexado para reivindicar seu prêmio. Essa isca inicial serve como porta de entrada para uma sequência de ataque em dois estágios.
O primeiro estágio implanta uma página de phishing HTML independente chamada “Virtual-Gift-Card-Claim.html” que representa uma interface de login de webmail para o próprio domínio da vítima.
Quando executivos desavisados inserem suas credenciais, as informações são imediatamente filtradas para um canal de comando e controle do Telegram, dando aos invasores acesso instantâneo a contas de e-mail corporativas e acesso à rede potencialmente mais amplo.
Técnica ClickFix oferece roubo
O segundo estágio aproveita uma técnica enganosa conhecida como ClickFix para instalar o malware Stealerium infostealer.
As vítimas encontram um arquivo SVG malicioso chamado “account-verification-form.svg” que exibe um falso Google Chrome mensagem de erro dizendo “Ah, não! Algo deu errado.”
O erro fraudulento instrui os usuários a executar um comando de “correção” do PowerShell, um truque de engenharia social que explora a confiança do usuário nas mensagens de solução de problemas do navegador.
Quando as vítimas executam o comando sugerido, elas acionam inadvertidamente uma sofisticada cadeia do PowerShell que baixa e instala o Stealerium por meio de vários estágios do carregador.
Essa abordagem ClickFix transforma um simples download de imagem em execução de código orientada pelo usuário, ignorando os controles de segurança tradicionais que podem sinalizar a instalação automatizada de malware.
Stealerium é um ladrão de informações de código aberto capaz de coletar senhas de navegadores, carteiras de criptomoedas, informações do sistema e outros dados confidenciais de máquinas infectadas.
As informações roubadas são então transmitidas para servidores controlados pelo invasor, proporcionando aos cibercriminosos um perfil abrangente de suas vítimas e acesso potencial a contas financeiras.
Os pesquisadores identificaram a infraestrutura de ataque centrada no endereço IP 31.57.147.77, que hospeda vários endpoints para entregar vários estágios de carga útil, incluindo scripts CMD, Arquivos HTAexecutáveis, DLLs, scripts do PowerShell e arquivos em lote.
A campanha usa dois canais separados de bot do Telegram, um para exfiltrar credenciais de phishing e outro para dados do Stealerium, demonstrando uma abordagem de segurança operacional compartimentada.
Recomendações de proteção
O servidor de comando e controle Stealerium usa uma chave de criptografia codificada “StealeriumC2SecretKey123” para proteger as comunicações entre sistemas infectados e a infraestrutura do invasor.
A implementação da lista de permissões de aplicativos e a restrição da execução do PowerShell podem impedir o Técnica ClickFix de ter sucesso, mesmo que os usuários sejam socialmente projetados para tentar o ataque.
As organizações devem implementar defesas em vários níveis contra esta ameaça. Os filtros de segurança de e-mail devem sinalizar anexos suspeitos, especialmente arquivos HTML e arquivos protegidos por senha.
O treinamento de conscientização sobre segurança dos funcionários deve enfatizar os perigos dos prêmios não solicitados e os sinais de alerta das tentativas de coleta de credenciais.
As equipes de segurança devem bloquear os indicadores de comprometimento identificados, incluindo os hashes de arquivos maliciosos e a infraestrutura IP do invasor.
Esta campanha destaca como os invasores estão cada vez mais combinando diversas técnicas para maximizar seu sucesso, tornando o roubo de credenciais e a infecção por malware objetivos em uma única operação.
Siga-nos emGoogle Notícias,LinkedIneXpara obter atualizações instantâneas e definir GBH como fonte preferencial emGoogle.