){kind=link}
Uma nova operação cibercriminosa identificada como PhantomEnigma explora portais oficiais do governo brasileiro para distribuir malwares. O método consiste em utilizar portais legítimos (com o final .gov.br) para transmitir uma falsa sensação de segurança aos usuários. O objetivo é roubar credenciais bancárias das vítimas.
Em vez de criar sites falsos, os criminosos estão invadindo a infraestrutura real de prefeituras e órgãos policiais, diz um relatório técnico da empresa ANY.RUN. Essa metodologia utilizada pelos agentes maliciosos faz com que os mecanismos de segurança tradicionais não consigam reconhecer de imediato as ameaças, visto que elas partem de websites com boa reputação.
smart_display
Nossos vídeos em destaque
Segundo os pesquisadores, pelo menos 20 portais governamentais brasileiros foram comprometidos para hospedar arquivos maliciosos e redirecionar vítimas para a instalação do malware. Uma atividade de phishing, às vezes combinada com o método do ClickFix, envia PDFs falsos com QR Codes da Polícia Civil para acessar as máquinas das vítimas.
Vale notar que esse PhantomEnigma não é o malware distribuído, mas sim o nome dado a campanha de ataques analisada. O diferencial e o perigo dessa operação é que ela se estrutura na base da confiança. Nenhum usuário entra em um site público, do governo, e imagina que ali pode ser um vetor de ataque.
Essa campanha é centralizada principalmente para espionagem e roubo de informações. O objetivo inicial é obter acesso rápido às redes corporativas para coletar dados sensíveis. Dentre essas informações estão credenciais bancárias e instalar outras ameaças posteriormente, como os famigerados infostealers.
Enigma do roubo
O golpe do PhantomEnigma parte de um email enviado por meio de uma conta institucional comprometida de algum órgão público. Como esse e-mail vem de uma fonte confiável, ele passa direto pelas travas de segurança desses sistemas. O conteúdo das imagens é sempre externo, como ofícios, intimações, procurações digitais ou comunicações policiais.
- Ao clicar no link presente na mensagem, o usuário é direcionado para um portal governamental comprometido;
- Em vez de exibir apenas conteúdo legítimo, o site disponibiliza um arquivo executável, geralmente com nomes como “Procuracao_Digital.exe”;
- Ao ser executado, o instalador insere silenciosamente uma aplicação baseada na plataforma JavaScript;
- Então, um script malicioso começa a roubar dados básicos do sistema e garante que o vírus inicie junto com o Windows;
- Por fim, o ataque estabelece conexões com servidores C2 entre a máquina e os criminosos, para que eles sempre tenham acesso ao computador.
É interessante pontuar que por meio desse servidor o PhantomEnigma consegue distribuir novos malwares, como os já citados infostealers, ladrões de senhas e outras cargas maliciosas. O caminho dos cibercriminosos fica praticamente livre para cometerem novos delitos.
Um dos pontos de atenção citados pela ANY.RUN é que instituições financeiras aparecem entre os principais alvos da campanha. Dessa forma, a operação criminosa busca especificamente o acesso a credenciais bancárias e sistemas internos ligados a operações financeiras.
Como se proteger?
Como esse golpe está muito associado a esses websites aparentemente legítimos, os especialistas da ANY.RUN têm uma visão mais específica. Eles alertam que confiar apenas na reputação dos domínios já não é suficiente diante de campanhas como o PhantomEnigma.
Nesse contexto, algumas dicas para se proteger incluem sempre desconfiar de mensagens urgentes que solicitam abertura de documentos ou execução de programas, mesmo quando enviadas por órgãos públicos. Nunca executar arquivos baixados diretamente de e-mails e manter o sistema operacional dos computadores atualizado também é de suma importância.
Por falar em grandes golpes, o grupo ShinyHunters invadiu a empresa Ernst & Young e agora ameaça vazar dados sigilosos da companhia em breve. Siga o TecMundo no X, Instagram, Facebook e YouTube e assine a nossa newsletter para receber as principais notícias e análises diretamente no seu e-mail.