Desde janeiro deste ano, organizações financeiras em todo o mundo, especialmente nos Estados Unidos, Hong Kong, Austrália, Reino Unido e Ucrânia, vêm sendo alvo de ataques do malware conhecido como Trojan.Odinaff. Os ataques são discretos e parecem estar focados em organizações que operam nos setores bancário, de valores mobiliários, de negociação e folha de pagamento. Organizações que prestam serviços a essas indústrias também são de interesse dos ciberatacantes. A descoberta é da sempre de segurança Symantec.
Segundo a empresa, o Odinaff é comumente usado no primeiro estágio do ataque, para marcar uma posição na rede e, em seguida, instalar ferramentas adicionais no sistema invadido. Essas ferramentas têm características de um ataque sofisticado, que vem atormentado a indústria financeira. Os ataques requerem operações complexas, como a implantação metódica de uma série de back doors leves e com o propósito de construir ferramentas para os computadores de interesse específico.
Estima-se que o investimento para coordenação, desenvolvimento, implantação e operação dessas ferramentas durante os ataques seja bastante alto, pois os atacantes utilizam malwares customizados, construídos propositadamente para comunicações furtivas (Backdoor.Batel), descoberta de rede, roubo de credenciais e monitoração das atividades de funcionários.
Embora seja difícil de executar, esse tipo de ataque a bancos pode ser altamente lucrativo, chegando a centenas de milhões de dólares.
Como agem?
Os atacantes Odinaff usam uma variedade de métodos para invadir as redes das organizações. Um dos mais comuns é por meio de documentos-isca que contém um macro malicioso. Se o destinatário ativar os macros, o Odinaff será instalado no computador.
De acordo com a Symantec, o Trojan.Odinaff é usado para realizar a invasão inicial, enquanto outras ferramentas são implantadas para completar o ataque. Uma segunda peça de malware conhecido como Batle (Backdoor.Batel) é instalado para executar cargas úteis apenas na memória, o que significa que o malware pode manter uma presença furtiva em computadores infectados. Os ciberatacantes fazem uso extensivo de uma gama de ferramentas de hacking leves e ferramentas de software legítimas para vasculhar a rede e identificar os computadores principais.
