PureCrypter Implanta Agente Tesla e Novo Backdoor TorNet em Ataques Cibernéticos em andamento
Um agente de ameaças motivado financeiramente foi vinculado a uma campanha de e-mail de phishing em andamento que está em andamento desde pelo menos julho de 2024, visando especificamente usuários na Polônia e na Alemanha.
Os ataques levaram à implantação de várias cargas, como Agente Tesla Keylogger Serpente, e um backdoor anteriormente não documentado chamado TorNet que é entregue por meio de PureCrypter. O TorNet é assim chamado devido ao fato de permitir que o agente de ameaças se comunique com a máquina da vítima através da rede de anonimato TOR.
“O ator está executando uma tarefa agendada do Windows em máquinas vítimas—incluindo em endpoints com bateria fraca—para alcançar a persistência”, disse o pesquisador da Cisco Talos, Chetan Raghuprasad disse em uma análise publicada hoje.
“O ator também desconecta a máquina vítima da rede antes de soltar a carga útil e, em seguida, conecta-a de volta à rede, permitindo que eles evitem a detecção por soluções antimalware na nuvem.”
O ponto de partida dos ataques é um e-mail de phishing com falsas confirmações de transferência de dinheiro ou recibos de pedidos, com o agente de ameaças disfarçado de instituições financeiras e empresas de manufatura e logística. Anexado a essas mensagens são arquivos com a extensão “.tgz” em uma provável tentativa de evitar a detecção.
Abrir o anexo de e-mail compactado e extrair o conteúdo do arquivo leva à execução de um .Carregador NET que, por sua vez, baixa e executa o PureCrypter diretamente na memória.
O malware PureCrypter então inicia o backdoor TorNet, mas não antes de realizar uma série de verificações anti-debugger, anti-análise, anti-VM e anti-malware na máquina da vítima para voar sob o radar.
“O backdoor TorNet estabelece conexão com o servidor C2 e também conecta a máquina vítima à rede TOR”, observou Raghuprasad. “Tem as capacidades para receber e executar arbitrárias .Montagens NET na memória da máquina vítima, baixadas do servidor C2, aumentando a superfície de ataque para mais intrusões.”
A divulgação ocorre dias depois que a empresa de inteligência de ameaças disse que observou um aumento nas ameaças de e-mail, aproveitando a salga de texto oculto no segundo semestre de 2024, com a intenção de contornar a extração de marcas por analisadores de e-mail e mecanismos de detecção.
“A salga de texto oculto é uma técnica simples, mas eficaz, para ignorar analisadores de e-mail, confundir filtros de spam e evitar mecanismos de detecção que dependem de palavras-chave”, disse o pesquisador de segurança Omid Mirzaei disse. “A ideia é incluir alguns caracteres na fonte HTML de um e-mail que não são visualmente reconhecíveis.”
Para combater esses ataques, recomenda-se desenvolver técnicas avançadas de filtragem que possam detectar a salga de texto oculto e a ocultação de conteúdo, incluindo a detecção do uso de propriedades CSS como “visibilidade” e “exibição”, e adotar a abordagem de detecção de similaridade visual (por exemplo Pisco) para melhorar os recursos de detecção.
Fonte: https://thehackernews.com/