A Talos, equipe de inteligência de ciberameaças da Cisco, detectou uma campanha de spam direcionada a usuários brasileiros com a intenção de instalar ferramentas comerciais de monitoramento e gerenciamento remoto (RMM). A infecção inicial ocorre por meio de mensagens de spam especialmente elaboradas que se passam por instituições financeiras ou operadoras de telefonia celular com faturas em atraso ou comprovantes eletrônicos de pagamento como NF-e.
CONTEÚDO RELACIONADO: Gartner prevê que 25% das empresas adotarão navegadores seguros para acesso remoto até 2028
Nesse golpe, a vítimas são encaminhadas a um arquivo do Dropbox, que contém o instalador binário malicioso para a ferramenta RMM. Os nomes dos arquivos também contêm referências à NF-e, como Boleto_Nfe_12345.exe ou Eletronica_Nfe_98745.exe, por exemplo. Os alvos são principalmente executivos de nível C-levels e contas financeiras e de recursos humanos em diversos setores, incluindo algumas instituições educacionais e governamentais, segundo a Talos.
Após a instalação do RMM, o cibercriminoso assume o controle total da máquina alvo. Apesar da maioria das máquinas infectadas não sofresse qualquer outro tipo de atividade maliciosa por dias, em alguns casos, a Talos observou que o agente da ameaça instalando uma ferramenta RMM adicional e removendo todas as ferramentas de segurança da máquina alguns dias após o comprometimento inicial. Isso é consistente com a forma como os grupos de agentes de acesso inicial (IAB) agem, segundo a equipe.
Ela explica que o principal objetivo de um IAB é criar rapidamente uma rede de máquinas comprometidas e, em seguida, vender o acesso à rede para terceiros. Criminosos costumam usar IABs ao procurar empresas-alvo específicas para implantar ransomware. No entanto, os IABs têm prioridades variadas e podem vender seus serviços a qualquer criminoso, incluindo criminosos patrocinados por governos.
Cibercrime se aproveita de modelo comercial de RMM para invadir vítimas
O abuso de ferramentas comerciais de RMM por adversários tem aumentado constantemente nos últimos anos. Essas ferramentas legítimas, muitas vezes usadas por help desk de empresas para ajudar colegas de trabalho, são de interesse dos agentes de ameaças porque geralmente são assinadas digitalmente por entidades reconhecidas e são um backdoor (porta secreta) completo. Elas também têm pouco ou nenhum custo em software ou infraestrutura, já que tudo isso geralmente é fornecido pelo aplicativo da versão de teste.
Como parte da pesquisa sobre como essas ferramentas funcionam, a equipe da Talos criou uma conta de teste para verificar quais recursos estavam disponíveis para um usuário de teste. No caso da ferramenta de acesso remoto N-able, a versão de teste oferece um conjunto completo de recursos limitado apenas pelo período de teste de 15 dias.
A Talos confirmou que, ao usar uma conta de teste, o agente de ameaças tem acesso total à máquina, incluindo acesso remoto semelhante à área de trabalho, execução remota de comandos, streaming de tela, captura de teclas digitadas e acesso remoto ao shell.
N-able RMM é o mais utilizado
O N-able RMM Acesso Remoto é a ferramenta mais comum distribuída nesta campanha e é desenvolvida pela N-able, Inc., anteriormente conhecida como SolarWinds. Outra ferramenta observada pela Talos em alguns casos é o PDQ Connect, um aplicativo RMM semelhante. Ambos oferecem um período de teste gratuito de 15 dias.
O tráfego de rede que essas ferramentas geram também é disfarçado como tráfego regular, com muitas ferramentas utilizando comunicação via HTTPS e se conectando a recursos que fazem parte da infraestrutura fornecida pelo provedor da aplicação. Por exemplo, o N-able Acesso Remoto usa um domínio associado à sua interface de gerenciamento hospedado na Amazon Web Services (AWS), garantindo que o acesso remoto pelo cibercriminoso não seja visto como algo mal intencionado.
Participe das comunidades IPNews no Instagram, Facebook, LinkedIn e X (Twitter).