Pesquisadores do Netskope Threat Labs identificaram malware, compilado em Golang (linguagem de programação criada pela Google), que implanta um backdoor e usa o Telegram como canal de comando e controle (C2). A descoberta foi feita quando eles analisaram um Indicador de Comprometimento (IoC) compartilhado por outros pesquisadores. Durante a análise, foi descoberto o payload, aparentemente ainda em desenvolvimento, mas já totalmente funcional. “Embora o uso de aplicações de nuvem como canais C2 não seja algo frequente, é um método muito eficaz usado por invasores. Primeiro porque elimina a necessidade de implementar uma infraestrutura inteira para isso, o que facilita a vida deles, e também porque é muito difícil, sob a perspectiva da defesa, diferenciar o que é um usuário normal usando uma API e o que é uma ameaça executando comandos”, explica Leandro Fróes, especialista brasileiro e pesquisador do Netskope Threat Labs.
Leia também
Netskope capta US$ 168,7 milhões
Netskope compra a WootCloud, reforçando presença em IoT
As aplicações de nuvem OneDrive, GitHub, DropBox, são exemplos que também podem dificultar a detecção por equipes de segurança, caso sejam se atacados de forma semelhante.
Todos os IoCs e scripts relacionados a esse malware podem ser encontrados no repositório GitHub.
“Não sou um robô” – cuidado com PDFs maliciosos
Ainda nesta semana, o Netskope Threat Labs descobriu uma campanha de phishing que explora Webflow, SEO e CAPTCHAs falsos para fraudes em cartões de crédito.
Os criminosos cibernéticos estão mirando vítimas que procuram documentos em mecanismos de busca para desviar suas informações financeiras e pessoais. Eles usam técnicas de SEO para atrair as vítimas a acessar arquivos PDF maliciosos hospedados no Webflow CDN, que contêm uma imagem CAPTCHA falsa.
Os links de phishing são incorporados na imagem CAPTCHA falsa para redirecionar ao site falso. Os invasores usam o Cloudflare Turnstile para enganar as vítimas, que acreditam que estão usando um CAPTCHA legítimo, ao mesmo tempo em que protegem suas páginas de phishing das varreduras de segurança.
