Descoberta e panorama
Pesquisadores do Internet Storm Center identificaram uma campanha que começa com e-mails de phishing contendo anexos ZIP que trazem arquivos VBS disfarçados como documentos de confirmação de pagamento. O arquivo VBS identificado tem nomes como "Payment_confirmation_copy_30K__20251211093749.vbs" e funciona como gatilho para um ataque em múltiplas etapas, que culmina na instalação do malware Formbook.
Abordagem técnica e vetor de exploração
O vetor inicial é a execução do VBS descompactado pelo usuário. O VBS emprega técnicas de evasão simples, como um loop de atraso (9 segundos) que tenta burlar sandboxes que monitoram ações imediatas; em seguida o código reconstrói e invoca um comando PowerShell codificado por fragmentos. O PowerShell baixa um payload adicional hospedado no Google Drive, grava-o na pasta AppData do usuário e, por fim, executa msiexec.exe, injetando o Formbook no processo.
Segundo a análise, apenas 17 de 65 engines de antivírus detectaram o arquivo VBS inicial, indicador da eficácia das técnicas de ofuscação usadas nas etapas iniciais. O malware, após a instalação, abre comunicação com um servidor de comando e controle identificado no IP 216.250.252.227 na porta 7719.
Impacto e quem é afetado
O relatório não informa contagem de vítimas por setor ou país; trata-se de uma campanha de phishing orientada ao usuário final, com potencial para comprometer sistemas corporativos quando a vítima possuir permissões administrativas ou quando o payload subsequente escalar privilégios. As fontes não detalham se houve uso de exploits para elevação de privilégios além da cadeia de scripts descrita.
Mitigações e recomendações técnicas
- Bloquear anexos compactados em e-mails ou aplicar análise de sandbox que simule interações mais longas para detectar delays intencionais.
- Inspecionar execuções de msiexec.exe e PowerShell invocadas por processos de usuário não administrativos e monitorar escrita em %AppData% por binaries baixados via links externos (ex.: Google Drive).
- Aplicar filtragem de anexos na camada de gateway de e-mail e utilizar detecção baseada em comportamento para scripts VBS e PowerShell que reconstroem comandos a partir de fragmentos.
- Educar usuários sobre o risco de abrir arquivos VBS recebidos por e-mail, mesmo quando parecem documentos de pagamento.
Limites das informações
As fontes descrevem a cadeia de ataque e indicadores (nomes de arquivo, IP e porta), mas não apresentam uma contagem de vítimas nem detalhes sobre payloads finais distintos além da identificação do Formbook. As formas de distribuição adicionais, infraestrutura de backend além do IP citado e eventual relação com outras campanhas não são detalhadas nas pesquisas citadas.
Contexto e próximos passos
Campanhas que encadeiam VBS → PowerShell → binário continuam comuns porque exploram lacunas operacionais (execução de scripts, políticas de bloqueio permissivas e baixa visibilidade de endpoints). A presença de baixadores em serviços de armazenamento público (por exemplo, Google Drive) reforça a necessidade de controles combinados: bloqueio de anexos, análise de comportamento e resposta a ameaças com caça a indicadores de execução anômala.
Fontes citadas: Internet Storm Center; relatório reproduzido por Cyber Security News.