Há uma nova variedade de malware fazendo rondas na Internet que já infectou milhares de computadores em todo o mundo e, provavelmente, seu programa antivírus não seria capaz de detectá-lo.
Por quê? Isso ocorre porque, primeiro, é um malware avançado sem arquivo e, em segundo lugar, utiliza apenas utilitários de sistema legítimos e ferramentas de terceiros para estender sua funcionalidade e comprometer os computadores, em vez de usar qualquer código malicioso.
A técnica de trazer suas próprias ferramentas legítimas é eficaz e raramente foi identificada na natureza, ajudando os invasores a se misturar em suas atividades maliciosas com atividades regulares de rede ou tarefas de administração do sistema, deixando menos pegadas.
Descoberto independentemente por pesquisadores de segurança cibernética da Microsoft e Cisco Talos, o malware – apelidado de ” Nodersok ” e ” Divergent ” – está sendo distribuído principalmente por meio de anúncios on-line maliciosos e infectando usuários usando um ataque de download drive-by.
Detectado pela primeira vez em julho deste ano, o malware foi projetado para transformar computadores Windows infectados em proxies, que, de acordo com a Microsoft, podem ser usados pelos invasores como retransmissão para ocultar o tráfego malicioso; enquanto o Cisco Talos acredita que os proxies são usados para cliques fraudulentos para gerar receita para os invasores.
Processo de infecção em vários estágios envolve ferramentas legítimas
![fluxo de ataque de malware sem arquivo](https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEiIIH4_J_TssHF_ZHPmXJUJKnxFG53D5amapGEwSVUVv9cWrzBF7MCd3SRJE0i75aH_c1p3bheF2z0cxDNfm3pYKb-cb01KiwCn1FvUjYrEA5r3XPUBxwLLe6hWvtAUYeGZBu0KkVVKlTwc/s3200-e100/fileless-malware-attack-flow.png)
A infecção começa quando anúncios mal-intencionados lançam o arquivo de aplicativo HTML (HTA) nos computadores dos usuários, que, quando clicados, executam uma série de cargas de JavaScript e scripts do PowerShell que eventualmente baixam e instalam o malware Nodersok.
“Todas as funcionalidades relevantes residem em scripts e códigos de shell que quase sempre são criptografados, são descriptografados e executados apenas na memória. Nenhum executável malicioso é gravado no disco”, explica a Microsoft .
Conforme ilustrado no diagrama, o código JavaScript se conecta a serviços de nuvem legítimos e domínios de projeto para baixar e executar scripts de segundo estágio e componentes criptografados adicionais, incluindo:
- Scripts do PowerShell – tente desativar o antivírus do Windows Defender e a atualização do Windows.
- Código Binário da Shell – tenta escalar privilégios usando a interface COM auto-elevada.
- Node.exe – A implementação do Windows da popular estrutura Node.js., que é confiável e tem uma assinatura digital válida, executa JavaScript malicioso para operar no contexto de um processo confiável.
- WinDivert (desvio de pacote do Windows) – um utilitário legítimo e poderoso de captura e manipulação de pacotes de rede que o malware usa para filtrar e modificar determinados pacotes de saída.
Por fim, o malware descarta a carga útil final do JavaScript criada para a estrutura Node.js. que converte o sistema comprometido em um proxy.
“Isso conclui a infecção, no final da qual o filtro de pacotes de rede está ativo e a máquina está funcionando como um potencial zumbi proxy”, explica a Microsoft.
“Quando uma máquina se transforma em um proxy, ela pode ser usada pelos invasores como retransmissão para acessar outras entidades da rede (sites, servidores C&C, máquinas comprometidas etc.), o que pode permitir a realização de atividades maliciosas furtivas”.
![servidor proxy de malware](https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEhIpDBL8lzu6gI0HTEITtAEmNnM91p9R8gqXbfdNjCKCG4m7jvVTJ0JTJss9v20-L21mZTY1ogPf-e49BaH3p7Y6KkRWEGQu5sHrsVZ7hCCJvDcdOwIgEb-12M177UOhdhyphenhyphene16tD8_ZtucO/s728-e100/malware-proxy-server.png)
De acordo com os especialistas da Microsoft, o mecanismo de proxy baseado no Node.js. atualmente tem dois objetivos principais: primeiro, ele conecta o sistema infectado a um servidor de comando e controle remoto, controlado por atacantes, e segundo, recebe solicitações HTTP para procurá-lo de volta.
![fraude por clique em malware](https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEh3hbbLwmlAuCvOA9-oJbp6K0qP9fivxV-YqcYYzZmoJTDhBCeUoZypAPRP3Xrs5SC-_PSas8BIyI-29mkF4qHdPYFhFI7Ng2SeL3GW7nRz6WgQimaprhGaNDimX5gPG4xsz8JL0RgAUTky/s728-e100/malware-click-fraud.png)
Por outro lado, especialistas da Cisco Talos concluem que os invasores estão usando esse componente de proxy para comandar os sistemas infectados a navegar em páginas arbitrárias da Web para monetização e clicar em propósitos de fraude.
Nodersok infectou milhares de usuários do Windows
Segundo a Microsoft, o malware Nodersok já infectou milhares de máquinas nas últimas semanas, com a maioria dos alvos localizados nos Estados Unidos e na Europa.
Enquanto o malware se concentra principalmente na segmentação de usuários domésticos do Windows, os pesquisadores observaram cerca de 3% dos ataques direcionados a organizações de setores da indústria, incluindo educação, saúde, finanças, varejo, serviços comerciais e profissionais.
Como a campanha de malware emprega técnicas avançadas sem arquivo e conta com uma infraestrutura de rede ilusória, usando ferramentas legítimas, a campanha de ataque passou despercebida, dificultando a detecção por programas antivírus tradicionais baseados em assinaturas.
“Se excluirmos todos os arquivos limpos e legítimos aproveitados pelo ataque, tudo o que resta é o arquivo HTA inicial, a carga útil final baseada em Node.js. e vários arquivos criptografados. As assinaturas tradicionais baseadas em arquivo são inadequadas para combater sofisticados ameaças como essa “, diz a Microsoft.
No entanto, a empresa diz que o “comportamento do malware produziu uma pegada visível que se destaca claramente para quem sabe onde procurar”.
Esse ano, a Microsoft também descobriu e relatou outra campanha de malware sem arquivo , apelidada de Astaroth , que foi projetada para roubar informações confidenciais dos usuários, sem soltar nenhum arquivo executável no disco ou instalar qualquer software na máquina da vítima.
A Microsoft disse que a proteção de próxima geração do Windows Defender ATP detecta esses ataques de malware sem arquivo em cada estágio da infecção, detectando comportamentos anômalos e maliciosos, como a execução de scripts e ferramentas.
O post Microsoft alerta para um novo malware raro sem arquivo que sequestra computadores com Windows apareceu primeiro em Mundo Hacker.
Fonte: http://feedproxy.google.com/~r/mundohackeroficial/~3/KRZXG5pD5Xk/
![Microsoft alerta para um novo malware raro sem arquivo que sequestra computadores com Windows](https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEiIIH4_J_TssHF_ZHPmXJUJKnxFG53D5amapGEwSVUVv9cWrzBF7MCd3SRJE0i75aH_c1p3bheF2z0cxDNfm3pYKb-cb01KiwCn1FvUjYrEA5r3XPUBxwLLe6hWvtAUYeGZBu0KkVVKlTwc/s72-c-e100/fileless-malware-attack-flow.png)
Nenhum comentário:
Antes de deixar um comentário, acesse o site meuspy.com e veja como é fácil espionar celulares.