Top 5 Ameaças de Malware para se Preparar Contra em 2025
2024 Teve seu quinhão de ataques cibernéticos de alto perfil, com empresas tão grandes quanto a Dell e a TicketMaster sendo vítimas de violações de dados e outros compromissos de infraestrutura. Em 2025, essa tendência continuará. Então, para estar preparado para qualquer tipo de ataque de malware, toda organização precisa conhecer seu inimigo cibernético com antecedência. Aqui estão 5 famílias comuns de malware que você pode começar a se preparar para combater agora.
Lumma
Lumma é um malware amplamente disponível projetado para roubar informações confidenciais. Ele foi vendido abertamente na Dark Web desde 2022. Esse malware pode efetivamente coletar e exfiltrar dados de aplicativos direcionados, incluindo credenciais de login, informações financeiras e detalhes pessoais.
O Lumma é atualizado regularmente para melhorar suas capacidades. Ele pode registrar informações detalhadas de sistemas comprometidos, como histórico de navegação e dados de carteira de criptomoedas. Ele pode ser usado para instalar outros softwares maliciosos em dispositivos infectados. Em 2024, o Lumma foi distribuído através de vários métodos, incluindo páginas CAPTCHA falsas, torrents e e-mails de phishing direcionados.
Análise de um ataque Lumma
A análise proativa de arquivos e URLs suspeitos dentro de um ambiente sandbox pode efetivamente ajudá-lo a prevenir a infecção pelo Lumma.
Vamos ver como você pode fazer isso usando A sandbox baseada em nuvem da ANY.RUN. Ele não apenas fornece veredictos definitivos sobre malware e phishing, além de indicadores acionáveis, mas também permite a interação em tempo real com a ameaça e o sistema.
Dê uma olhada esta análise de um ataque Lumma.
| ANY.RUN permite que você abra arquivos manualmente e inicie executáveis |
Ele começa com um arquivo que contém um executável. Depois de iniciar o arquivo .exe, o sandbox registra automaticamente todos os processos e atividades de rede, mostrando as ações do Lumma.
| O Suricata IDS nos informa sobre uma conexão maliciosa com o servidor C2 da Lumma |
Ele se conecta ao seu servidor de comando e controle (C2).
| Processo malicioso responsável por roubar dados do sistema |
Em seguida, ele começa a coletar e exfiltrar dados da máquina.
| Você pode usar os COI extraídos pela sandbox para aprimorar seus sistemas de detecção |
Após finalizar a análise, podemos exportar um relatório sobre esta amostra, apresentando todos os indicadores importantes de comprometimento (COI) e TTPs que podem ser usados para enriquecer as defesas contra possíveis ataques Lumma em sua organização.
XWorm#
XWorm é um programa malicioso que dá aos cibercriminosos controle remoto sobre computadores infectados. Aparecendo pela primeira vez em julho de 2022, ele pode coletar uma ampla gama de informações confidenciais, incluindo detalhes financeiros, histórico de navegação, senhas salvas e dados da carteira de criptomoedas.
O XWorm permite que os invasores monitorem as atividades das vítimas rastreando as teclas digitadas, capturando imagens da webcam, ouvindo a entrada de áudio, digitalizando conexões de rede e visualizando janelas abertas. Ele também pode acessar e manipular a área de transferência do computador, potencialmente roubando credenciais de carteira de criptomoedas.
Em 2024, o XWorm esteve envolvido em muitos ataques em larga escala, incluindo aqueles que exploraram os túneis do CloudFlare e certificados digitais legítimos.
Análise de um ataque XWorm
| Os e-mails de phishing geralmente são o estágio inicial dos ataques do XWorm |
Em este ataque, podemos ver o e-mail de phishing original, que apresenta um link para uma unidade do Google.
| Uma página do Google Drive com um link de download para um arquivo malicioso |
Uma vez que seguimos o link, somos oferecidos para baixar um arquivo que é protegido com uma senha.
| Arquivo malicioso aberto com um arquivo .vbs |
A senha pode ser encontrada no e-mail. Depois de inseri-lo, podemos acessar um script .vbs dentro do arquivo .zip.
| O XWorm usa o MSBuild.exe para persistir no sistema |
Assim que lançamos o script, a sandbox detecta instantaneamente atividades maliciosas, o que eventualmente leva à implantação do XWorm na máquina.
AssíncronaRAT
AsyncRAT é outro trojan de acesso remoto na lista. Visto pela primeira vez em 2019, ele foi inicialmente espalhado por e-mails de spam, muitas vezes explorando a pandemia do COVID-19 como uma atração. Desde então, o malware ganhou popularidade e foi usado em vários ataques cibernéticos.
O AsyncRAT evoluiu ao longo do tempo para incluir uma ampla gama de recursos maliciosos. Ele pode gravar secretamente a atividade da tela da vítima, registrar as teclas digitadas, instalar malware adicional, roubar arquivos, manter uma presença persistente em sistemas infectados, desativar o software de segurança e lançar ataques que sobrecarregam os sites direcionados.
Em 2024, o AsyncRAT permaneceu uma ameaça significativa, muitas vezes disfarçada de software pirata. Foi também uma das primeiras famílias de malware a ser distribuída como parte de ataques complexos envolvendo scripts gerados pela IA.
Análise de um Ataque AsyncRAT
| O arquivo inicial com um arquivo .exe |
Em esta sessão de análise, podemos ver outro arquivo com um executável malicioso dentro.
| Um processo do PowerShell usado para baixar uma carga útil |
Detonar o arquivo inicia a cadeia de execução do XWorm, que envolve o uso de scripts do PowerShell para buscar arquivos adicionais necessários para facilitar a infecção.
| ANY.RUN fornece um veredicto de ameaça junto com tags relevantes para contexto adicional |
Uma vez que a análise é concluída, a sandbox exibe o veredicto final sobre a amostra.
Remcos
O Remcos é um malware que foi comercializado por seus criadores como uma ferramenta legítima de acesso remoto. Desde o seu lançamento em 2019, ele tem sido usado em vários ataques para executar uma ampla gama de atividades maliciosas, incluindo roubo de informações confidenciais, controle remoto do sistema, gravação de teclas digitadas, captura de atividade de tela, etc.
Em 2024, as campanhas para distribuir Remcos usaram técnicas como ataques baseados em script, que geralmente começam com um VBScript que lança um script do PowerShell para implantar o malware e explora vulnerabilidades como o CVE-2017-11882, aproveitando arquivos XML maliciosos.
Análise de um Ataque Remcos
| E-mail de phishing aberto na Sandbox Interativa da ANY.RUN |
Em este exemplo, nos deparamos com outro e-mail de phishing que apresenta um anexo .zip e uma senha para ele.
| processo de DMC utilizado durante a cadeia de infecção |
A carga útil final aproveita os processos do Prompt de Comando e do sistema Windows para carregar e executar o Remcos.
| A matriz MITRE ATT&CK fornece uma visão abrangente das técnicas do malware |
A sandbox ANY.RUN mapeia toda a cadeia de ataque para a matriz MITRE ATT&CK por conveniência.
LockBit
O LockBit é um ransomware voltado principalmente para dispositivos Windows. É considerado uma das maiores ameaças de ransomware, representando uma parte substancial de todos os ataques Ransomware-as-a-Service (RaaS). A natureza descentralizada do grupo LockBit permitiu comprometer inúmeras organizações de alto perfil em todo o mundo, incluindo o Royal Mail do Reino Unido e os Laboratórios Aeroespaciais Nacionais da Índia (em 2024).
As agências de aplicação da lei tomaram medidas para combater o grupo LockBit, levando à prisão de vários desenvolvedores e parceiros. Apesar desses esforços, o grupo continua a operar, com planos de lançar uma nova versão, LockBit 4.0, em 2025.
Análise de um Ataque LockBit
| LockBit ransomware lançado no ambiente seguro da sandbox ANY.RUN |
Check-out esta sessão sandbox, mostrando a rapidez com que o LockBit infecta e criptografa arquivos em um sistema
| O Interactive Sandbox do ANY.RUN permite que você veja a análise estática de cada arquivo modificado no sistema |
Ao acompanhar as alterações do sistema de arquivos, podemos vê-lo modificado 300 arquivos em menos de um minuto.
| Nota de resgate diz às vítimas para entrar em contato com os atacantes |
O malware também solta uma nota de resgate, detalhando as instruções para recuperar os dados.
Melhore a Sua Segurança Proativa com a Sandbox Interativa da ANY.RUN#
Analisar as ameaças cibernéticas de forma proativa, em vez de reagir a elas quando elas se tornam um problema para sua organização, é o melhor curso de ação que qualquer empresa pode tomar. Simplifique-o com a caixa de areia interativa do ANY.RUN examinando todos os arquivos e URLs suspeitos dentro de um ambiente virtual seguro que ajuda a identificar conteúdo malicioso com facilidade.
Com a sandbox ANY.RUN, sua empresa pode:
- Detecte e confirme rapidamente arquivos e links nocivos durante as verificações agendadas.
- Investigue como o malware opera em um nível mais profundo para revelar suas táticas e estratégias.
- Responda a incidentes de segurança de forma mais eficaz, coletando informações importantes sobre ameaças por meio da análise sandbox.
Fonte: https://thehackernews.com/