Nova Campanha de Malware Utiliza Planilhas do Excel para Controlar PCs de Usuários
Pesquisadores de segurança da Fortinet recentemente descobriram uma campanha maliciosa que aproveita e-mails corporativos falsificados para disseminar o XWorm, um malware que pode assumir o controle total de computadores com o sistema operacional Windows. Este ataque ocorre de forma discreta, sem que a vítima perceba que algo está errado.
A Estratégia do Ataque: E-mails Falsificados
A abordagem inicial do ataque envolve o envio de um e-mail de phishing, onde os criminosos se disfarçam de entidades legítimas. Nesses e-mails, um anexo no formato .XLAM, um tipo de suplemento do Excel, é enviado. A comunicação é cuidadosamente elaborada para imitar mensagens comuns do ambiente corporativo, como solicitações de pagamento ou documentos financeiros, e convida o destinatário a abrir o arquivo para obter mais informações.
Exploração de Vulnerabilidades Antigas
O ataque se aproveita de uma vulnerabilidade conhecida, identificada em 2018, que ainda afeta sistemas que não foram atualizados. Dentro da planilha, um objeto OLE corrompido utiliza um componente antigo do Microsoft Office, o EQNEDT32.EXE, para ativar o malware. Esta falha, catalogada como CVE-2018-0802, permite a execução remota de código, dando aos atacantes a capacidade de controlar a máquina da vítima à distância.
Técnicas de Camuflagem e Infiltração
Ao explorar a vulnerabilidade, um código malicioso é executado em segundo plano e se conecta à internet para baixar um arquivo HTA, que possui acesso total ao sistema. O HTA é disfarçado para dificultar a detecção por ferramentas de segurança, utilizando um formato codificado e incorporando um módulo completo dentro de uma imagem JPEG por meio de esteganografia.
Ativação do Malware e Controle Remoto
Uma vez que o módulo é ativado, ele baixa o XWorm, que é então injetado em um processo legítimo do Microsoft, o Msbuild.exe. Essa técnica, conhecida como esvaziamento de processo, permite que o malware seja executado sem levantar suspeitas. Para sistemas de monitoramento, tudo parece estar funcionando normalmente, enquanto o XWorm ganha controle sobre a máquina da vítima.
Capacidades do XWorm
A versão do XWorm utilizada nesta campanha é a 7.2, que se conecta a um servidor de comando e controle através de criptografia AES. Essa conexão permite que os criminosos adquiram informações detalhadas sobre a máquina da vítima, como nome de usuário, versão do sistema operacional e informações sobre o hardware. Com isso, os atacantes conseguem controlar remotamente o mouse e o teclado, acessar a câmera e o microfone, além de roubar senhas e outras informações sensíveis.
Conclusão: A Necessidade de Atualização e Vigilância
Esta nova campanha evidencia a importância crítica de manter sistemas operacionais e softwares atualizados para proteger contra vulnerabilidades conhecidas. Além disso, a conscientização sobre tentativas de phishing e a prevenção de ataques cibernéticos são fundamentais para garantir a segurança das informações e do acesso a dispositivos pessoais e corporativos.
