Ameaça foi usada para difundir malware multifuncional que pode ser usado como backdoor ou como ferramenta para instalar um software de mineração de criptomoedas
Pesquisadores da Kaspersky Lab descobriram ataques realizados por um novo malware que se propaga no ambiente on-line e que utiliza uma vulnerabilidade de ‘dia zero’ existente no aplicativo Telegram para desktop. A vulnerabilidade foi usada para difundir um malware multifuncional que, dependendo do computador atacado, pode ser usado como backdoor ou como uma ferramenta para instalar um software de mineração. Segundo a investigação, a vulnerabilidade é explorada ativamente desde março de 2017 para a funcionalidade de mineração de criptomoedas, como Monero, Zcash etc.
Os serviços de mensagens, criados para facilitar o contato com amigos e familiares, fazem parte de nossa vida conectada há muito tempo. Ao mesmo tempo, eles podem trazer complicações importantes se forem alvos de um ataque cibernético.
Por exemplo, no mês passado, a Kaspersky Lab publicou o relatório de uma pesquisa sobre um malware avançado em dispositivos, o cavalo de Troia Skygofree, capaz de roubar mensagens do WhatsApp. A pesquisa mais recente mostra que os especialistas conseguiram identificar ataques ‘em campo’ que utilizam uma nova vulnerabilidade antes desconhecida na versão para desktop de outro serviço conhecido de mensagens instantâneas. A investigação mais recente da Kaspersky Lab revela ataques de malware no ambiente online com uma nova vulnerabilidade, anteriormente desconhecida, na versão de desktop de outro popular serviço de mensagens instantâneas – Telegram
De acordo com análise, a vulnerabilidade de “dia zero” do Telegram se baseia no método Unicode RLO (substituição da direita para a esquerda). Em geral, ele é usado para codificar idiomas escritos da direita para a esquerda, como árabe ou hebraico. Porém, os criadores do malware também podem usá-lo para induzir os usuários a baixar arquivos maliciosos disfarçados, por exemplo, como imagens.
Os invasores usaram um símbolo Unicode oculto no nome do arquivo para inverter a ordem dos caracteres, renomeando assim o próprio arquivo. Consequentemente, os usuários baixavam o malware oculto, que era instalado nos computadores. A Kaspersky Lab informou ao Telegram sobre a vulnerabilidade e, até o momento desta publicação, a falha de “dia zero” não foi mais observada nos produtos de mensagens instantâneas.
Durante a análise, os especialistas da Kaspersky Lab identificaram vários cenários de explorações de “dia zero” em campo lançadas por agentes de ameaças. Em primeiro lugar, a vulnerabilidade foi explorada para transmitir o malware de mineração, que pode ser causar muitos danos aos usuários. Usando a capacidade de computação do PC da vítima, os criminosos virtuais criam vários tipos de moeda criptografada, como Monero, Zcash, Fantomcoin e outros. Além disso, ao analisar os servidores de um agente de ameaças, os pesquisadores da Kaspersky Lab descobriram arquivos comprimidos contendo um cache local do Telegram que havia sido roubado das vítimas.
Depois de conseguir explorar a vulnerabilidade, era instalado um backdoor que usava a API do Telegram como protocolo de comando e controle. Assim, os hackers obtinham acesso remoto ao computador da vítima. Após a instalação, ele começava a operar em modo silencioso, permitindo que o agente da ameaça continuasse imperceptível na rede e executasse diversos comandos, por exemplo, para instalar outras ferramentas de spyware.
Os artefatos descobertos durante a pesquisa sugerem que os criminosos virtuais são de origem russa.
Para proteger seu computador de qualquer infecção, a Kaspersky Lab recomenda:
– Não baixe e instale arquivos desconhecidas de fontes não confiáveis
– Evite compartilhar informações pessoais sigilosas em mensagens instantâneas
– Instale uma solução de segurança confiável
