Pastor Moises Martins

Malware que visa o Brasil continua se espalhando por e-mails

Palo Alto Networks detectou 9.125 amostras do spam malicioso associado como o Banload, uma família de cavalo de Tróia que faz download de outros malwares

A Palo Alto Networks identificou uma nova forma de malware que está se espalhando por e-mails dos brasileiros. Desde dezembro de 2013, a empresa detectou 9.125 amostras do spam malicioso (malspam) associado como o Banload, uma família de cavalo de Tróia que faz download de outros malwares. Somente neste ano, foram detectadas 2.113 amostras desse malware.

O processo de infecção acontece em várias etapas. No ataque, os usuários recebem uma mensagem que afirma ser a terceira e última notificação para o pagamento do IPTU (Imposto Brasileiro, Territorial e Urbano) da Prefeitura com um arquivo para ser baixado.

Ao baixar o que o usuário acredita ser um boleto IPTU, ele salva em seu computador um arquivo zip contendo um Windows executável e um arquivo DLL malicioso e a princípio nada acontece.

A próxima parte da infecção acontece quando o usuário precisa utilizar o sistema bancário online. No Brasil, a maioria dos bancos utiliza um plugin de segurança bancária chamado G-Buster Browser Defense, desenvolvido pela GAS Tecnologia. Dentro dele, há um executável chamado GbpSv.exe que foi projetado para carregar um arquivo DLL nomeado fltLib.dll.

Em ambos os arquivos, é possível identificar a presença de um DLL, que é o componente verdadeiramente malicioso dos dois itens. A técnica de carregar DLL malicioso usando um arquivo legítimo executável é conhecida como Side Loading (carregamento lateral). Ela é cada vez mais usada pelos criminosos para esconder o conteúdo malicioso em arquivos DLL. O arquivo DLL parece ser malware de botnet e provavelmente possui um componente de roubo de informações comum a outros malwares vistos neste tipo de malspam brasileiro.

Os usuários localizados no Brasil ou pessoas que usam serviços bancários on-line brasileiros devem estar cientes dessa ameaça e tomar as precauções necessárias, como não clicar em links em e-mails suspeitos. A Palo Alto Networks continuará a investigar esta atividade e aprimorar a plataforma de prevenção de ameaças.

Fonte: Computer World