){kind=link}
Um novo código malicioso utiliza os navegadores Google Chrome e Microsoft Edge como fachada para ocultar o envio de comandos e o roubo de dados. Descrito por pesquisadores da empresa de cibersegurança Cisco Talos como “msaRAT”, o Cavalo de Troia de Acesso Remoto (RAT) pertence ao grupo de cibercriminosos Chaos e consegue burlar sistemas de defesa tradicionais por meio de camuflagem.
Ao contrário de invasões que exploram falhas diretas no software, o msaRAT assume o controle do navegador instalado no computador e realiza conexões em nome dele. Com essa tática, o vírus não faz conexões diretas com os servidores dos criminosos e evita a emissão de alertas em firewalls.
smart_display
Nossos vídeos em destaque
Como o ataque acontece
O golpe começa por meio de mensagens enganosas por e-mail ou chamadas de voz – abordagem conhecida tecnicamente como phishing. Os invasores induzem a vítima a baixar um instalador com a falsa promessa de uma atualização do Windows. Assim que executado, esse arquivo carrega o código malicioso diretamente na memória do sistema.
Na etapa seguinte, o msaRAT localiza o Chrome ou o Edge no computador e inicia o programa em modo invisível, sem janela aberta. Em seguida, o código ativa a interface de depuração do próprio navegador, uma ferramenta criada originalmente para desenvolvedores. Através desse recurso, o vírus injeta scripts e força o navegador a abrir canais de comunicação criptografados.
Infraestrutura camuflada
Para ocultar a origem dos comandos, o malware direciona a comunicação a partir de serviços legítimos de nuvem da Cloudflare e de infraestruturas da Twilio. De acordo com os analistas da Cisco Talos, “o endereço IP real do servidor do invasor nunca aparece no tráfego de rede”, o que dificulta o rastreamento e o bloqueio da operação por equipes de TI.
O grupo Chaos atua no cenário internacional. Em análises da empresa de cibersegurança Rapid7, estes cibercriminosos foram associados a operações do grupo iraniano MuddyWater, que costuma mascarar ações de espionagem sob o disfarce de ataques de extorsão financeira.
A Cisco Talos disponibilizou, em seu relatório oficial, a lista de Indicadores de Comprometimento (IoCs) para ajudar empresas a identificarem a presença do vírus em suas redes.
Por falar em malwares perigosos, o vírus ACR Stealer também entrou no radar de grandes empresas de tecnologia. A Microsoft identificou um aumento expressivo nos ataques que utilizam este programa malicioso, que atua de forma silenciosa. Siga o TecMundo no X, Instagram, Facebook e YouTube e assine a nossa newsletter para receber as principais notícias e análises diretamente no seu e-mail.