Os agentes de ameaças foram observados utilizando sites falsos disfarçados como soluções antivírus legítimas da Avast, Bitdefender e Malwarebytes para propagar malware capaz de roubar informações sensíveis de dispositivos Android e Windows.
“Hospedar software malicioso por meio de sites que parecem legítimos é predatório para consumidores em geral, especialmente aqueles que buscam proteger seus dispositivos de ataques cibernéticos”, disse o pesquisador de segurança da Trellix, Gurumoorthi Ramanathan.
A lista de sites está abaixo –
– avast-securedownload[.]com, que é usado para fornecer o trojan SpyNote na forma de um arquivo de pacote Android (“Avast.apk”) que, uma vez instalado, solicita permissões intrusivas para ler mensagens SMS e registros de chamadas, instalar e excluir aplicativos, tirar capturas de tela, rastrear localização e até mesmo minerar criptomoedas.
– bitdefender-app[.]com, que é usado para fornecer um arquivo de arquivo ZIP (“setup-win-x86-x64.exe.zip”) que implementa o malware roubador de informações Lumma.
– malwarebytes[.]pro, que é usado para fornecer um arquivo de arquivo RAR (“MBSetup.rar”) que implementa o malware roubador de informações StealC
A empresa de cibersegurança disse que também descobriu um binário Trellix rogue chamado “AMCoreDat.exe” que serve como um canal para lançar um malware roubador capaz de colher informações da vítima, incluindo dados do navegador, e enviá-lo para um servidor remoto.
Atualmente não está claro como esses sites falsos são distribuídos, mas campanhas semelhantes no passado empregaram técnicas como malvertising e SEO poisoning.
Malwares de roubo têm se tornado cada vez mais uma ameaça comum, com criminosos cibernéticos anunciando numerosas variantes personalizadas com diferentes níveis de complexidade. Isso inclui novos roubadores como Acrid, SamsStealer, ScarletStealer e Waltuhium Grabber, bem como atualizações para existentes como SYS01stealer (também conhecido como Album Stealer ou S1deload Stealer).
“O fato de novos roubadores aparecerem de tempos em tempos, combinado com o fato de que sua funcionalidade e sofisticação variam consideravelmente, indica que há uma demanda criminal de mercado por roubadores”, disse a Kaspersky em um relatório recente.
Na semana passada, a empresa russa de cibersegurança também detalhou uma campanha de malware Gipy que se aproveita da popularidade das ferramentas de inteligência artificial (IA) ao anunciar um falso gerador de voz de IA por meio de sites de phishing.
Quando instalado, o Gipy carrega malwares de terceiros hospedados no GitHub, que vão desde roubadores de informações (Lumma, RedLine, RisePro e LOLI Stealer) e mineradores de criptomoedas (Apocalypse ClipBanker) até trojans de acesso remoto (DCRat e RADXRat) e backdoors (TrueClient).
Esse desenvolvimento ocorre enquanto pesquisadores descobriram um novo trojan bancário Android chamado Antidot, que se disfarça como uma atualização do Google Play para facilitar o roubo de informações, abusando das APIs de acessibilidade e MediaProjection do Android.
“Em termos de funcionalidade, o Antidot é capaz de keylogging, ataques de overlay, exfiltração de SMS, capturas de tela, roubo de credenciais, controle do dispositivo e execução de comandos recebidos dos atacantes”, disse a Symantec, uma subsidiária da Broadcom, em um boletim.
