Uma operação de malware deixou seu servidor de entrega amplamente aberto, permitindo que a Rapid7 recuperasse todo o toolkit, incluindo modelos de isca, testes de falsificação de nome de arquivo e experimentos de execução.
A descoberta da Rapid7
A análise revelou um servidor de entrega mal configurado contendo 1.048 arquivos que abrangem modelos de isca, testes de falsificação de nome de arquivo, experimentos de execução, droppers e notas de construtor. A descoberta expôs duas cadeias de campanha distintas, sendo uma já ativa contra usuários Windows no México.
A campanha mexicana entregava um infostealer através de um site falso de consulta de identidade governamental usando WebDAV. A exposição do servidor permitiu aos pesquisadores entenderem a estrutura completa da operação e as táticas utilizadas pelos atacantes.
Estrutura do toolkit exposto
O toolkit inclui templates de isca projetados para enganar usuários, testes de falsificação de nome de arquivo para evitar detecção por antivírus e experimentos de execução para validar a eficácia dos payloads. A presença de notas de construtor sugere um nível de organização e documentação interna que é raro em operações de malware menos sofisticadas.
A utilização de WebDAV como vetor de entrega é particularmente preocupante, pois permite a transferência de arquivos diretamente para o sistema de arquivos do cliente, muitas vezes contornando gateways de segurança de e-mail tradicionais que focam em anexos de e-mail padrão.
Campanha WebDAV e infostealer
A campanha ativa contra usuários Windows no México utilizava um site falso de consulta de identidade governamental para atrair vítimas. Ao acessar o site, os usuários eram induzidos a baixar arquivos que continham o infostealer. O uso de WebDAV facilitava a entrega direta do payload, minimizando a necessidade de interações complexas de download.
Os infostealers são projetados para extrair credenciais salvas, cookies de sessão e outras informações sensíveis dos navegadores e sistemas operacionais das vítimas. A combinação de phishing com entrega via WebDAV representa uma evolução nas táticas de entrega de malware.
Uso de IA na geração de iscas
O título da campanha menciona o uso de IA assistida, sugerindo que os atacantes podem estar utilizando ferramentas de inteligência artificial para gerar conteúdo de phishing mais convincente e personalizado. Isso pode incluir a criação de textos de e-mail mais naturais, imagens falsas de documentos governamentais ou até mesmo a adaptação de iscas com base em dados vazados.
A automação da criação de iscas permite que os atacantes lancem campanhas em escala maior com menos esforço manual, aumentando a probabilidade de sucesso. A detecção de conteúdo gerado por IA em campanhas de phishing torna-se um desafio crescente para as equipes de segurança.
Impacto em usuários Windows
O foco em usuários Windows indica que os atacantes visam uma base de usuários ampla e familiarizada com sistemas operacionais da Microsoft. A entrega de infostealers através de WebDAV pode comprometer não apenas credenciais de e-mail, mas também credenciais de sistemas locais e dados de aplicativos.
Os usuários afetados podem sofrer roubo de identidade, acesso não autorizado a contas corporativas e perda de dados sensíveis. A recuperação após um comprometimento desse tipo pode ser complexa e demorada, exigindo a troca de todas as credenciais e a varredura de sistemas infectados.
Medidas de mitigação
As organizações devem monitorar o tráfego WebDAV em suas redes e bloquear o acesso não autorizado a servidores WebDAV públicos. A implementação de soluções de segurança de e-mail que analisam anexos e links em tempo real é essencial para detectar tentativas de phishing.
A educação dos usuários sobre os riscos de sites falsos e a verificação de URLs antes de baixar arquivos também são medidas críticas. A auditoria regular de permissões de acesso a servidores e a configuração adequada de firewalls podem prevenir a exposição de servidores de entrega de malware.