Cibercriminosos brasileiros estão sofisticando seus golpes para roubar dinheiro on-line e contam, agora, com nova arma: o Windows PowerShell. Descoberto por analistas da Kaspersky Lab, o novo trojan bancário brasileiro está empregando essa tecnologia utilizada por administradores e programadores para automatizar comandos de sistema, e está presente nas versões mais recentes do Windows (7 ao 10). Sua utilização é ampla em outras famílias de malware, como ransomware, mas essa é a primeira vez que seu uso é visto em pragas de origem brasileira.
Segundo a empresa de segurança, o ataque foi distribuído por meio de campanha de e-mail malicioso disfarçado de fatura de operadora de telefonia móvel, com links de download para um arquivo malicioso. Após a execução do malware, ele altera as configurações de proxy do Internet Explorer para um servidor que redireciona as conexões para páginas de phishing dos principais bancos brasileiros.
Uma vez no computador, o novo servidor de proxy configurado irá direcionar a conexão da vítima para servidores controlados pelos criminosos. Essa mudança no sistema irá afetar não apenas o Internet Explorer, mas sim todos os outros navegadores instalados no sistema, como Chrome ou Firefox, uma vez que eles costumam utilizar as mesmas configurações do Internet Explorer. Ao tentar acessar as páginas de bancos brasileiros, a vítima será direcionada para páginas de phishing localizadas em um servidor na Holanda.
A empresa recomenda que para proteger redes ou computadores desses ataques usando o PowerShell é importante modificar as permissões do recurso, por meio de templates administrativos que irão permitir somente a execução de scripts assinados.
O malware também verifica o idioma configurado no sistema operacional infectado e aborta sua execução, caso o idioma não seja PTBR. Este é um truque inteligente, que visa evitar infecção por pessoas que não usam o idioma em seu computador, limitando, assim, as infecções aos brasileiros.
