O despertar do LNK: cibercriminosos substituem macros por arquivos de atalho para acessar PCs corporativos

Relatório da HP Wolf Security mostra as mais recentes técnicas e iscas de phishing que colocam as empresas em risco

Salvador, 24/08/2022 – A HP divulga seu relatório trimestral Threat Insights, que revela que uma leva de cibercriminosos distribuidores de famílias de malware – incluindo QakBot, IceID, Emotet e RedLine Stealer – está aderindo a arquivos de atalho (LNK) para enviar malwares. Esses atalhos estão substituindo as macros do Office – que passam a vir bloqueadas na configuração padrão – como forma de os invasores conseguirem entrar nas redes, enganando os usuários para que infectem seus PCs com o malware. Esse acesso pode ser usado para roubar dados valiosos das empresas ou pode ser vendido para grupos de ransomware, levando a violações de larga escala que podem paralisar operações e gerar custos substanciais.

O HP Wolf Security Threat Insights Report – que apresenta análises de ataques cibernéticos no mundo – mostra um aumento de 11% nos arquivos de dados contendo malware, inclusive arquivos LNK. Os invasores muitas vezes anexam documentos compactados (zip) para se esquivarem dos antivírus de e-mail. A equipe também identificou kits para criação de malware em LNK disponíveis para compra em fóruns de hackers, o que torna fácil para que o cibercrime adote essa técnica de execução de código “livre de macro”, passando a criar arquivos de atalho armamentizados e a disseminá-los nas empresas.

“Como as macros baixadas da web estão vindo bloqueadas na configuração padrão do Office, estamos de olho em métodos alternativos de execução que estão sendo testados por cibercriminosos. Abrir um atalho ou arquivo HTML pode parecer inofensivo para um funcionário, mas pode resultar em um grande risco para a empresa”, explica Alex Holland, analista sênior de malware da equipe de pesquisa HP Wolf Security da HP Inc. “As organizações devem tomar medidas para estarem protegidas contra técnicas que estão ganhando a preferência dos invasores, senão vão ficar expostas conforme forem se difundindo. Recomendamos o bloqueio imediato de arquivos de atalho recebidos como anexos de e-mail ou baixados da web”.

Ao isolar ameaças que escaparam das ferramentas de detecção em PCs, a HP Wolf Security obtém uma visão específica das mais recentes técnicas usadas por criminosos cibernéticos. Além do aumento nos arquivos LNK, a equipe de pesquisa destaca os seguintes achados:

•  Contrabando de HTML atinge massa crítica – A HP identificou diversas campanhas de phishing em que e-mails se passavam por serviços regionais de correio ou – conforme previsto pela HP – por grandes eventos, como a Expo 2023 em Doha (que vai atrair mais de 3 milhões de participantes de todo o mundo), usando o contrabando de HTML para entregar malware. Com essa técnica, tipos perigosos de arquivo que seriam bloqueados pelos gateways de e-mail podem acessar as organizações e ocasionar infecções de malware.
•  Invasores exploram o ponto cego criado pela vulnerabilidade de dia zero Follina (CVE-2022-30190) – Após a recente revelação da vulnerabilidade de dia zero no Microsoft Support Diagnostic Tool (MSDT) – apelidada de “Follina” –, muitos agentes de ameaças a exploraram para distribuir QakBot, Agent Tesla e a ferramenta de acesso remoto (RAT) Remcos antes que um patch estivesse disponível. A vulnerabilidade é particularmente perigosa porque permite que os criminosos rodem códigos arbitrários para implantar o malware e requer pouca interação de usuário para explorar as máquinas-alvo.
•  Nova técnica de execução faz código shell oculto em documentos espalhar malware SVCReady – A HP descobriu uma campanha que distribuía uma nova família de malware chamada SVCReady, notável pela forma incomum com que é inserido nos PCs – via código shell oculto nas propriedades de documentos do Office. O malware – criado principalmente para baixar códigos maliciosos secundários a fim de infectar computadores, coletar informações do sistema e fazer capturas de tela – ainda está em uma fase inicial de desenvolvimento e foi atualizado diversas vezes nos últimos meses.

Os achados da pesquisa são baseados em dados de milhões de endpoints que rodam o HP Wolf Security. Os especialistas da companhia realizam tarefas arriscadas, como abrir anexos de e-mail, baixar arquivos e clicar em links, em micromáquinas virtuais isoladas (micro-VMs) para proteger os usuários, captando rastros detalhados de tentativas de infecção. A tecnologia de isolamento de aplicativos da HP reduz ameaças e fornece insights sobre novas técnicas de intrusão e comportamentos de agentes perigosos. Até o momento, clientes HP já clicaram em mais de 18 bilhões de anexos de e-mail, páginas na internet e arquivos baixados sem registros de violação.

Outras revelações importantes do relatório incluem:

•  14% dos e-mails maliciosos captados pelo HP Wolf Security driblaram pelo menos um escaneamento pelo gateway de e-mail.
•  Agentes de ameaça usaram 593 famílias diferentes de malware em suas tentativas de infectar organizações, contra 545 no trimestre anterior.
•  Os invasores estão, cada vez mais, colocando arquivos maliciosos em planilhas para tentar fugir da detecção, a equipe de pesquisa registrou um aumento de 11% nas ameaças desse tipo.
•  69% dos malware detectados foram entregues via e-mail, enquanto os downloads na internet foram responsáveis por 17%.
•  As iscas de phishing mais comuns foram transações comerciais, tais como “pedido”, “pagamento”, “compra”, “requisição” e “nota fiscal”.

“Os invasores estão testando novos formatos de arquivo malicioso ou exploits com rapidez para evitar a detecção, então as organizações precisam se preparar para o inesperado. Isso significa adotar uma abordagem de arquitetura à segurança de endpoint – por exemplo, conter os vetores mais comuns de investidas, como e-mails, navegadores e downloads – para que as ameaças sejam isoladas independentemente de poderem ser detectadas”, comenta o Dr. Ian Pratt, chefe global de Segurança para Sistemas Pessoais da HP Inc. “Isso vai eliminar a superfície de ataque para categorias inteiras, ao mesmo tempo em que vai dar tempo para a organização coordenar ciclos de patches com segurança e sem paralisar os serviços”.

Sobre os dados

Esses dados foram coletados anonimamente nas máquinas virtuais de clientes HP Wolf Security entre abril e junho de 2022.

Sobre a HP Wolf Security

HP Wolf Security é uma nova linhagem de segurança de endpoint. O portfólio da HP de segurança no nível do hardware e de serviços de segurança focados no endpoint é projetado para ajudar as organizações a proteger PCs, impressoras e pessoas dos predadores cibernéticos que os rondam. A HP Wolf Security proporciona proteção abrangente e resiliência de endpoint que começam no nível do hardware e se estendem a todos os software e serviços.