Código de trojan bancário brasileiro se espalha pelo mundo

Código de trojan bancário brasileiro se espalha pelo mundo

17 de maio de 2019|Brazilian Malware, cibersegurança, Hackers brasileiros

---

Pesquisa da Cybereason,  mostra como o malware criado no Brasil, projetado originalmente para os usuários bancários brasileiros, é redirecionado para outros países e seus respectivos bancos regionais. 

Observamos mais de 60 bancos sendo alvo de malware financeiro brasileiro. 

Quando se trata de trojans bancários, o Brasil não é apenas um dos maiores desenvolvedores, mas na maioria das vezes a população, suporta o impacto desses ataques, entretanto, a Cybereason descobriu que o mesmo malware normalmente usado para atacar usuários no território brasileiro, esse se espalhou pelo mundo.

O malware foi encontrado por Cybereason está sendo usado contra bancos em mais de 60 países, mas apesar desse uso generalizado, a metodologia do ataque permanece fiel ao original. O malware foi marcado e rastreado usando vários nomes, incluindo Banload, Banbra, Bancos, Boleto, Delf e Spy.Banker.O malware, que é um RAT, foi criado por um brasileiro em 2015 e está disponível no Github. A Cybereason encontrou várias linhas de texto escritas em português para respaldar essa afirmação.

O autor nega usar sua criação de forma ilegal, escreveu a Cybereason.

“Embora o código tenha recursos de acesso remoto totalmente funcionais, ele não parece conter funcionalidade diretamente relacionada ao malware financeiro. E, ao contrário de outros malwares financeiros brasileiros, não há código de análise ou capacidade de detectar máquinas virtuais e / ou produtos de segurança. Esses recursos provavelmente foram adicionados por diferentes autores de malware que adaptaram o código RAT de código aberto ”, disse Cybereason.

Todos os ataques em vários estágios começam com um e-mail de phishing para definir a infecção inicial com o corpo do e-mail que contém um anexo ou link que utiliza um encurtador de URL conhecido, como Bitly ou TinyURL, que aponta para um site de hospedagem. Linhas de assunto geralmente se referem a uma fatura. 

Os invasores são particularmente sorrateiros usando sites conhecidos como AWS, Pastebin ou Dropbox. Isso faz com que pareça tanto para a vítima quanto para qualquer software de segurança, que o link seja seguro.

Como o malware segue seu curso

- Engenharia social como ponto de entrada.

- Vários redirecionamentos através de encurtadores de URL e o uso de serviços de DNS dinâmicos.

- Cargas hospedadas em serviços de armazenamento online legítimos e CDNs (redes de distribuição de conteúdo).

- Downloaders do PowerShell ofuscados que utilizam a evasão de log de linha de comando.

- Vivendo fora das técnicas de terra que abusam de binários assinados pela Microsoft.

- Abusar aplicativos confiáveis ​​via sequestro de DLL.

- Divisão da carga principal em dois ou mais componentes Dividindo a carga principal em dois ou mais componentes.

Como o malware é relativamente maleável, os agentes maliciosos por trás dele se espalharam para fora do Brasil e a Cybereason os identificou como alvo de bancos localizados em vários países de língua espanhola e inglesa.

 TAGS :

Ransomware decriptor tool; Remover ransomware; Proteção contra ransomware ; Antivírus para empresas; next generation firewalls BGP4-Table CIDRFeatured Security DPI SSL Cyberattack Ransomware Advanced Threats Network Security Cyber Security Encrypted ThreatsAntivirus Cybersecurity Next-Gen Firewalls  Monitoramento de infraestrutura de Ti ; Monitoramento de tráfego de rede ; Gestão e controle de ativos ; Infraestrutura de rede ; next generation firewalls BGP4-Table CIDRFeatured Security DPI SSL Cyberattack Ransomware Advanced Threats Network Security Cyber Security Encrypted ThreatsAntivirus Cybersecurity Next-Gen Firewalls