){kind=link}
Uma onda de ataques cibernéticos usa falsas atualizações de softwares populares de empresas como Adobe e Zoom para instalar programas de gerenciamento remoto de forma silenciosa. A campanha foi batizada como “Smoke Screen” pelos pesquisadores de segurança da Securonix.
O esquema se aproveita do fato de que essas ferramentas de acesso remoto são comuns e legítimas no ambiente corporativo, o que permite que os invasores burlem os controles de segurança convencionais e mantenham o controle dos computadores infectados sem precisar criar um programa malicioso do zero.
smart_display
Nossos vídeos em destaque
Como funcionam os ataques e a evolução dos métodos
Especialistas em segurança digital, Shikha Sangwan, Akshay Gaikwad e Aaron Beardslee descobriram que a operação utiliza diferentes tipos de arquivos e páginas falsas na internet para atrair as vítimas e entregar os programas maliciosos.
“A campanha recorre a um kit de ferramentas de instaladores, arquivos de script, programas executáveis e uma página de phishing, todos apontando no final para um servidor central ativo”, explicaram, em relatório publicado pela Securonix.
Em momentos anteriores da campanha, os criminosos tentaram desativar diretamente as defesas de segurança do Windows e alterar configurações de proteção dos computadores. No entanto, atualizações recentes mostraram uma guinada em direção a táticas mais discretas para evitar a detecção por equipes de segurança, identificaram os pesquisadores.
“O que torna esta campanha particularmente notável para os defensores é o arco observável das técnicas do ator. De instaladores cautelosos a sequências agressivas de destruição de defesas e, mais recentemente, um retorno à furtividade com atrasos de tempo para burlar monitoramentos e pacotes criptografados autossuficientes, a campanha se lê como uma corrida armamentista em tempo real entre atacante e defensor”, destacou a equipe da Securonix.
Para conseguir infectar os computadores, os criminosos utilizam diferentes caminhos, que incluem desde e-mails falsos com scripts maliciosos até arquivos compactados ou páginas na internet que imitam centrais de atualização legítimas. No desfecho de todas as vias de ataque mapeadas pelos especialistas, o processo culmina na instalação de um cliente do programa ScreenConnect.
)
Esse agente se conecta a servidores operados pelos criminosos e abre uma sessão de área de trabalho remota no computador da vítima. Como o instalador oficial possui assinaturas digitais válidas, a ferramenta consegue passar pelos antivírus tradicionais baseados em reputação sem acionar alertas imediatos.
Para reduzir os riscos associados a esse tipo de ameaça, a equipe da Securonix recomenda que as organizações e os administradores de redes adotem medidas rígidas de controle. As orientações incluem restringir a execução de arquivos de instalação não confiáveis vindos de pastas comuns de usuários, monitorar tentativas de adulteração de produtos de segurança, auditar o uso legítimo de ferramentas de acesso remoto e verificar processos suspeitos em execução.
Por falar em falhas de segurança digital, o Arch Linux desativou envios a repositório de usuários após onda de ciberataque. Siga o TecMundo no X, Instagram, Facebook e YouTube e assine a nossa newsletter para receber as principais notícias e análises diretamente no seu e-mail.