Relato do DarkReading documenta o uso do formato .scr (screensavers do Windows) como vetor para entrega de malware e ferramentas de gerenciamento remoto (RMM). A técnica explora a natureza pouco monitorada desse tipo de executável para contornar controles.
Resumo técnico
Segundo reportagem de Alexander Culafi no DarkReading, atacantes têm usado arquivos .scr para déposer malware e ferramentas RMM porque tratam-se de "executables that don't always receive executable-level controls," conforme cita a matéria. O uso de um tipo de arquivo menos observado permite executar binários sem passar por controles que normalmente incidem sobre executáveis tradicionais.
Vetor e modus operandi
- Formato .scr: arquivos de protetor de tela do Windows são executáveis nativos (PE) que, quando acionados, podem executar código.
- Entrega: a reportagem sugere que o vetor de entrega consiste em convencer o alvo a abrir/rodar o .scr, potencialmente via phishing ou engenharia social, permitindo a queda de payloads maliciosos e RMMs.
- Objetivo: implantação de malware, persistência e uso de RMMs para controle remoto e movimentação lateral.
Evidências e limites
A cobertura documenta a técnica e cita pesquisadores, mas não apresenta nesta peça exemplos públicos de campanhas em larga escala, indicadores de comprometimento ou famílias específicas de malware associadas ao uso de .scr. Tampouco a matéria lista amostras ou hashes que permitam detecção imediata.
"executables that don't always receive executable-level controls" — citado em DarkReading (Alexander Culafi)
Implicações para defesa
Controles que ignoram tipos de arquivo menos comuns podem permitir vetores de execução persistirem. As equipes de segurança devem:
- Incluir .scr nas políticas de bloqueio ou inspeção em gateways de e-mail e ferramentas de proteção endpoint.
- Reforçar treinamento de usuários sobre anexos e evitar execução de arquivos vindos de fontes não confiáveis.
- Configurar regras de prevenção de execução para tipos de arquivo executáveis e monitorar processos invocados por arquivos atípicos.
O que falta
A matéria alerta para a técnica e cita especialistas, mas não detalha campanhas específicas, alvos setoriais ou métricas de disseminação. Para ações imediatas, é recomendável buscar indicadores adicionais e integrar regras de bloqueio para .scr em políticas de prevenção.
Fonte: DarkReading (Alexander Culafi). A reportagem descreve o uso de arquivos .scr como vetor para entrega de malware e RMMs e recomenda atenção a esse formato por parte de equipes de defesa.