Os pesquisadores da Check Point Software Technologies detectaram uma evolução do malware Qbot, que passou a sequestrar o histórico de conversas (threads) de e-mails legítimos. A intenção é roubar credenciais bancárias e cartões de crédito, instalar um ransomware e executar transações bancárias não autorizadas, cujo os alvos são organizações e indivíduos.
CONTEÚDO RELACIONADO – Botnet Emotet volta ao topo das ameaças, diz Check Point
Identificado pela primeira vez em 2008, o Qbot (também conhecido como Qakbot ou Pinkslipbot) coleta dados de navegação e informações financeiras, incluindo detalhes de bancos online. Atualmente, são mais de 100 mil vítimas desta ameaça estimadas no mundo, tornando-se o malware mais difundido no momento. O Qbot coleta e-mails legítimos do Outlook dos usuários infectados para tentar enganar novas vítimas sequestrando conversas de e-mail legítimos.
Os pesquisadores da Check Point encontraram várias campanhas usando a nova família do Qbot entre março e agosto de 2020. Em uma das campanhas, o Qbot estava sendo distribuído pelo trojan Emotet, um cavalo de troia bancário que pode roubar dados espionando o tráfego da rede.
Isso levou os pesquisadores da Check Point a acreditarem que o Qbot possui novas técnicas de distribuição de malware, bem como uma infraestrutura de comando e controle renovada. A campanha envolvendo distribuição pelo Emotet impactou 5% das organizações globalmente em julho de 2020.
Nova linhagem, novos recursos
A última versão do Qbot evoluiu para se tornar altamente estruturada e em múltiplas camadas, estendendo suas capacidades como se fosse um “canivete suíço” que, de acordo com os pesquisadores, é capaz de:
- Roubar informações de máquinas infectadas, incluindo senhas, e-mails, detalhes de cartão de crédito e muito mais.
- Instalar ransomware: instalar outro malware em máquinas infectadas, incluindo ransomware.
- Permitir transações bancárias não autorizadas: faz com que o controlador do Bot se conecte ao computador da vítima (mesmo quando ela já está conectada) para fazer transações bancárias a partir do seu endereço IP.
- Sequestro do histórico de conversas de e-mails
A cadeia de infecção do Qbot começa com o envio de e-mails especialmente elaborados para os alvos que são as organizações ou os indivíduos. Cada um dos e-mails contém uma URL para um ZIP com um arquivo Visual Basic Script (VBS) malicioso, o qual possui um código que pode ser executado no Windows.
Depois que uma máquina é infectada, o Qbot ativa um “módulo coletor de e-mail” especial que extrai todos os históricos de conversas de e-mail do cliente Outlook da vítima e os carrega para um servidor remoto codificado.
Esses e-mails roubados são, então, utilizados para futuras campanhas de malspam, tornando mais fácil para os usuários serem enganados e clicarem em anexos infectados, porque o e-mail de spam parece continuar uma conversa existente de um e-mail legítimo.
Os pesquisadores da Check Point viram exemplos de threads de e-mail direcionados e sequestrados com assuntos relacionados à covid-19, lembretes de pagamento de impostos e recrutamento de empregos.
Participe das comunidades IPNews no Facebook, LinkedIn e Twitter.
