TugaTech

Categoria: malware

  • Falha zero-day no Windows estaria a ser usada para ataques de malware

    Falha zero-day no Windows estaria a ser usada para ataques de malware

    Falha zero-day no Windows estaria a ser usada para ataques de malware

    Recentemente a Microsoft lançou uma nova atualização para o Windows 10 e Windows 11, que por entre as correções encontravam-se duas focadas a falhas zero-day, que estariam a ser usadas para ataques.

    E agora, conhecem-se mais detalhes sobre como uma das falhas foi explorada. De acordo com o comunicado da Microsoft, uma das falhas diz respeito ao Windows Defender SmartScreen, e estaria a ser explorada por um grupo conhecido como “Water Hydra” e “DarkCasino” para instalar o malware DarkMe, um malware que permite acesso remoto aos sistemas infetados.

    O malware estaria a explorar a falha para instalar-se no sistema, contornando as tradicionais proteções do mesmo. O malware foi identificado como tendo começado a surgir em sistemas infetados por volta do início de 2024.

    Explorando a falha, o malware poderia contornar a proteção de segurança do SmartScreen, evitando que o utilizador fosse alertado para o mesmo e as suas atividades.

    A falha também seria relativamente simples de explorar, visto que apenas necessitava de ser executado um atalho de internet, que redirecionasse para outro atalho, que por fim levaria ao conteúdo malicioso. Esta medida seria suficiente para contornar a proteção aplicada pelo sistema da Microsoft, e poderia levar a que os sistemas fossem comprometidos.

    Acredita-se que o malware, assim como o grupo responsável pelo mesmo, terá motivações financeiras, sendo que o objetivo passa por recolher dados pessoais e outras informações que possam levar a que dados financeiros sejam comprometidos.

    A correção da falha foi aplicada com o mais recente Patch Tuesday, disponibilizado esta semana para o Windows 10 e 11.

  • Microsoft lança Patch Tuesday com 74 correções de segurança

    Microsoft lança Patch Tuesday com 74 correções de segurança

    Microsoft lança Patch Tuesday com 74 correções de segurança

    A Microsoft encontra-se a lançar mais uma atualização para o Windows, dentro do Patch Tuesday de Fevereiro de 2024. Esta nova atualização chega com mais de 74 correções, entre as quais encontram-se algumas falhas zero-day.

    De acordo com a lista de correções de segurança desta atualização, o Patch Tuesday de Fevereiro para o Windows corrige um total de 74 falhas no sistema, das quais duas são consideradas zero-day e podem estar a ser usadas para ataques.

    Uma das falhas diz respeito ao Windows SmartScreen, onde os atacantes poderiam contornar as medidas de proteção deste sistema, eventualmente levando à instalação de malware no sistema operativo.

    A segunda falha diz respeito ao uso de atalhos da web para enganar os alertas de conteúdos potencialmente prejudiciais do sistema operativo, e que pode levar a que os utilizadores sejam direcionados para conteúdos maliciosos no sistema.

    As restantes falhas dizem respeito a vários problemas identificados no sistema durante as últimas semanas. Tendo em conta o elevado número de correções neste Patch Tuesday, os utilizadores são aconselhados a atualizarem o mais rapidamente possível.

    Como sempre, a atualização será fornecida diretamente via o Windows Update.

  • Malware Bubblebee volta ao ataque após quatro meses de “férias”

    Malware Bubblebee volta ao ataque após quatro meses de “férias”

    Malware Bubblebee volta ao ataque após quatro meses de “férias”

    Depois de quase quatro meses em “férias”, o malware conhecido como Bumblebee voltou ao ataque. O mesmo encontra-se a focar em centenas de empresas, sobretudo nos EUA, em campanhas de phishing.

    O malware Bumblebee foi inicialmente descoberto em Abril de 2022, e acredita-se que tenha ligações com os grupos Conti e Trickbot. O mesmo distribui-se sobretudo em campanhas de phishing, com foco em levar as vitimas a instalarem o malware no sistema, que procede com a descarga e instalação de outras variantes de malware.

    De acordo com os investigadores da empresa de segurança Proofpoint, o malware manteve-se inativo desde Outubro de 2023, praticamente sem atividade. No entanto, durante o mês de Fevereiro, aparenta ter voltado com atividade, o que pode indicar algumas mudanças para este ano.

    O malware propaga-se sobretudo sobre mensagens de email de phishing, onde as vitimas são encaminhadas para descarregarem algum conteúdo da internet – a maioria dos casos registados partem de mensagens falsas de “voicemail”.

    Se os utilizadores acederem aos links para descarregar os conteúdos, são direcionados para plataformas de armazenamento cloud – nomeadamente o OneDrive – de onde começa o ataque.

    O Bumblebee é normalmente vendido a criminosos que pretendem contornar algumas proteções dos sistemas para instalar malware diverso nos mesmos. Ou seja, diretamente o malware não aplica conteúdos maliciosos no sistema, mas pode levar a que estes sejam descarregados contornando medidas de segurança existentes.

  • FBI apreendeu infraestrutura do malware Warzone RAT

    FBI apreendeu infraestrutura do malware Warzone RAT

    FBI apreendeu infraestrutura do malware Warzone RAT

    As autoridades dos EUA confirmaram ter apreendido a infraestrutura usada pelo malware Warzone RAT, juntamente com dois suspeitos de serem responsáveis pelas operações do malware.

    De acordo com o comunicado do FBI, Daniel Meli, de 27 anos, foi detido em Malta depois de ter sido confirmada a sua associação com as atividades do malware Warzone RAT, também conhecido como “AveMaria”.

    Este malware foi criado em 2018, e é capaz de contornar várias medidas de segurança dos sistemas para levar ao roubo de informações sensíveis. Ao longo dos anos tem sido bastante usado para esquemas e ataques de grande porte contra várias entidades e indivíduos.

    Meli foi detido pelas autoridades de Malta, a pedido dos EUA, no dia 7 de Fevereiro de 2024, mas as suas atividades já estariam a ser monitorizadas desde meados de Dezembro de 2023.

    Além da detenção do principal suspeito de gerir as operações do malware, foram ainda apreendidos domínios e servidores usados para as operações do Warzone RAT. Os servidores das operações encontravam-se distribuídos por vários países, entre os quais a Alemanha, Roménia, Canada e outros.

    As autoridades indiciaram ainda como suspeito Onyeoziri Odinakachi, de 31 anos, residente da Nigéria. O mesmo terá também participado nas operações do malware e focava-se sobretudo a fornecer suporte técnico para quem adquirisse o mesmo.

    Odinakachi foi detido na Nigéria também no dia 7 de Fevereiro, na mesma altura que Meli.

    Acredita-se que Meli poderia encontrar-se no mundo do crime com malware desde 2012, altura em que teria 15 anos, e onde terá começado a vender ebooks de como criar e usar malware em várias plataformas. Eventualmente esta operação viria a evoluir para criar a sua própria variante de malware, e começar a vender o aceso da mesma para terceiros.

  • Novo malware “Coyote” propaga-se em força pela internet

    Novo malware “Coyote” propaga-se em força pela internet

    Novo malware “Coyote” propaga-se em força pela internet

    Existe um novo malware que tem vindo a propagar-se em força pela internet, e que pode causar alguns prejuízos para as vítimas do mesmo.

    De acordo com o relatório da empresa de segurança Kaspersky, o malware é conhecido como Coyote, e possui como objetivo final roubar dados financeiros dos utilizadores. O malware possui ainda vários métodos para contornar as proteções nos sistemas, e roubar assim o máximo de informação possível.

    Este malware distribui-se sobretudo sobre aplicações aparentemente legítimas, ou atualizações para as mesmas, que normalmente são distribuídas por sites de terceiros ou na internet. No final, o utilizador recebe a aplicação que estaria a procurar, mas ao mesmo tempo também acaba por instalar o malware no sistema.

    O malware mantém-se oculto no sistema, até identificar a melhor altura para ser ativado – por exemplo, quando o utilizador estiver a tentar realizar um pagamento online ou a aceder à sua conta bancária. Feito isto, o mesmo mantém ainda uma comunicação encriptada via SSL com os servidores em controlo dos atacantes, para onde envia os dados e recebe também comandos de resposta.

    Apesar de este malware poder afetar utilizadores em praticamente qualquer pais, o mesmo parece focado para já no Brasil, com o maior número de sistemas infetados a encontrarem-se localizados nesta região.

    De momento ainda se desconhece a origem deste malware ou os seus criadores.

  • Existe uma nova ameaça para o sistema da Apple

    Existe uma nova ameaça para o sistema da Apple

    Existe uma nova ameaça para o sistema da Apple

    Os utilizadores do macOS devem ficar atentos aos conteúdos que descarregam de fontes na internet. Uma nova campanha de malware, com foco em utilizadores do sistema da Apple, encontra-se a propagar em força sobre vários meios.

    A campanha de malware tem vindo a propagar-se desde meados de Novembro de 2023, e normalmente ocorre como falsas atualizações para o Visual Studio. Os utilizadores são aliciados a instalar uma atualização para o programa, quando na realidade, encontram-se a instalar o malware nos seus sistemas.

    O malware encontra-se desenvolvido na linguagem Rust, o que lhe permite ser compatível tanto com hardware Intel como ARM, incluindo os mais recentes processadores da Apple.

    Este malware é conhecido como RustDoor, e de acordo com os investigadores da empresa de segurança Bitdefender, o mesmo usa a infraestrutura do grupo de ransomware ALPHV/BlackCat.

    Uma vez instalado nos sistemas, este comunica com servidores em controlo dos atacantes, de onde recolhe os primeiros comandos para iniciar o ataque, e eventualmente, para onde envia os dados recolhidos dos sistemas infetados.

    De notar que, apesar de o malware ter como foco roubar dados sensíveis dos utilizadores, não aplica a encriptação de conteúdos. Até ao momento, tendo em conta a forma como o sistema da Apple se encontra desenvolvido, não existem diretamente ferramentas capazes de encriptar conteúdos em massa dentro do sistema operativo da Apple.

    No entanto, isso não coloca o malware como sendo menos perigoso, uma vez que pode levar ao roubo de informações sensíveis e de dados dos utilizadores, incluindo de contas online que o mesmo tenha salvaguardado no sistema.

    Ao mesmo tempo, o malware instala também um backdoor no sistema operativo, o que permite aos criminosos realizarem mais ações no futuro sobre o sistema, entre as quais encontra-se a capacidade de enviar comandos remotos para várias tarefas dentro do sistema.

    Os investigadores apontam que o malware tem vindo a ser distribuído desde o final de 2023, e que pode ter estado mais de três meses sem ser identificado. Apensa recentemente as campanhas começaram a ser notadas.

    Desconhece-se também o número de utilizadores potencialmente afetados por este malware.

  • Malware para Android pode iniciar-se logo após instalação

    Malware para Android pode iniciar-se logo após instalação

    Malware para Android pode iniciar-se logo após instalação

    Foi recentemente descoberta uma nova ameaça para dispositivos baseados em Android, que possam ter sido infetados por um malware conhecido como Xloader. Uma versão modificada do mesmo foi agora descoberta, que pode ter a capacidade de arrancar automaticamente no sistema depois de ser instalado, sem interação dos utilizadores.

    O malware XLoader é conhecido por ter ligações com grupos focados em obter rendimentos financeiros, que usam os dispositivos infetados para roubar dados bancários e outros fundos. O malware distribui-se sobretudo via SMS com links maliciosos, que redirecionam os utilizadores para sites onde podem descarregar os APK com o malware.

    No entanto, o malware, até agora, apenas poderia ser executado caso os utilizadores o iniciassem diretamente depois de instalar. Porém, os investigadores da empresa de segurança McAfee revelaram ter descoberto que uma nova variante do mesmo é agora capaz de se iniciar logo após a instalação, sem interação dos utilizadores.

    Quando a aplicação é instalada, o malware agora pode começar imediatamente a realizar as suas atividades maliciosas, sem que o utilizador tenha diretamente de iniciar a app para tal, ou de realizar algum processo.

    A técnica usada para tal já terá sido reportada à Google, que deverá implementar medidas para prevenir tal situação em futuras atualizações do Android. No entanto, isso ainda deixa uma grande lista de dispositivos potencialmente vulneráveis.

    O malware tenta ainda mascarar as suas atividades, ao usar nomes de aplicações legítimas durante a instalação, como o Chrome. Isto serve para enganar os utilizadores que pensam estar a instalar e executar algo completamente diferente.

    Depois de instalado, o malware passa a ter permissão para realizar várias atividades no sistema, sendo que tenta pedir ao utilizador que este autorize o mesmo a correr em segundo plano, ignorando as otimizações de bateria. Isto permite ao malware realizar as suas atividades sem ser interrompido pelo Android.

    Como sempre, os utilizadores devem ter extremo cuidado ao descarregar ficheiros de instalação de aplicações de fontes desconhecidas, sobretudo quando estas são recebidas de mensagens não solicitadas ou de spam.

  • Novo malware propaga-se em publicidade do Facebook

    Novo malware propaga-se em publicidade do Facebook

    Novo malware propaga-se em publicidade do Facebook

    De tempos a tempos surgem diferentes campanhas de malware pelas redes sociais, e o Facebook tem sido uma das plataformas usadas para tal. Em particular o sistema de publicidade da empresa, que regularmente passa campanhas focadas em distribuir malware para os utilizadores.

    Recentemente foi descoberto um novo malware, que se encontra a propagar via campanhas de publicidade no Facebook. Apelidado de Ov3r_Stealer, este malware possui como objetivo roubar dados de login em contas de diferentes plataformas, bem como roubar carteiras de criptomoedas no sistema dos utilizadores.

    De acordo com os investigadores da empresa Trustwave, a campanha do malware não é propriamente nova. Esta começa com publicidade distribuída sobre as redes sociais da Meta, mais concretamente do Facebook, onde as potenciais vítimas são levadas para sites externos. Na maioria dos casos, estas campanhas levam os utilizadores para potenciais ofertas de emprego, onde estes necessitam de aceder ao site para poderem registar-se na mesma.

    exemplo de campanha de malware no facebook

    Se os utilizadores acederem ao link, aparentam aceder a uma página de download do OneDrive para um ficheiro PDF, mas que é na realidade um script que realiza as atividades maliciosas no sistema via o terminal.

    Se executado no sistema, o Ov3r_Stealer tenta começar a recolher dados de login presentes no mesmo, tanto a nível dos navegadores, como de aplicações como o Discord, Filezilla, entre outros. Estes dados são depois enviados para sistemas em controlo dos atacantes.

    É também criada uma tarefa programada, que corre a cada 90 minutos, com foco em garantir que o malware se encontra instalado no sistema, e que também envia alguma informação da mesma para grupos privados do Telegram – onde os atacantes podem depois recolher a informação.

  • Google testa bloquear aplicações no Android com permissões arriscadas

    Google testa bloquear aplicações no Android com permissões arriscadas

    Google testa bloquear aplicações no Android com permissões arriscadas

    A Google encontra-se a testar uma nova funcionalidade de proteção para o Android, que pode ajudar os utilizadores a não serem vítimas de esquemas financeiros através de aplicações maliciosas.

    Este novo sistema encontra-se atualmente em testes, mas basicamente permite bloquear a instalação de aplicações que possam requerer informações sensíveis dos utilizadores ou do sistema, mesmo quando tenham sido instalada de fontes externas à Play Store.

    A Play Store não se encontra imune a malware, mas possui algumas regras de segurança mais apertadas para garantir a segurança dos utilizadores. No entanto, as aplicações podem também ser distribuídas por outras fontes, o que abre a possibilidade de serem realizados ataques e esquemas.

    Muitas aplicações usadas para esquemas fraudulentos podem usar permissões sensíveis do sistema, ou requerem dados dos utilizadores para roubar os mesmos. É neste ponto que a Google pretende agora atuar.

    Com este novo sistema de proteção, os utilizadores seriam notificados cada vez que tentarem instalar uma app no Android que requeira informações ou permissões sensíveis. Estas incluem a capacidade de ler as mensagens SMS, ou enviar as mesmas, aceder às notificações do sistema e de outras apps, bem como de criar serviços de acessibilidade – explorados regularmente para ataques.

    De acordo com a documentação da Google, esta afirma que 95% das apps que requerem estas permissões encontram-se fora da Play Store, e são normalmente instaladas de fontes externas e maliciosas.

    Com esta medida, quando os utilizadores tentarem instalar uma aplicação que requeira estas permissões de fora da Play Store, serão notificados para tal, informando que a app pode conter intenções maliciosas ou aceder a informações sensíveis.

    Esta funcionalidade encontra-se atualmente em testes, sendo ainda desconhecido quando ficará disponível para os utilizadores em geral. Possivelmente deverá chegar aos dispositivos através de atualizações aos serviços da Google no Android.

  • O estranho caso de 3 milhões de escovas de dentes a realizarem ataques DDoS

    O estranho caso de 3 milhões de escovas de dentes a realizarem ataques DDoS

    O estranho caso de 3 milhões de escovas de dentes a realizarem ataques DDoS

    Atualmente existem milhares de dispositivos ligados na Internet das Coisas, que possuem uma ligação quase permanente à internet. E isto aplica-se até mesmo em objetos do dia a dia, como escovas dos dentes elétricas.

    Existem no mercado escovas de dentes inteligentes, que contam com ligação para a internet, de forma a enviarem informações variadas sobre os seus usos. Como tal, terá sido certamente surpreendente quando o site Aargauer Zeitung publicou uma notícia, alegando que 3 milhões de escovas elétricas de uma marca teriam sido usadas para realizar um massivo ataque DDoS.

    O artigo indicava que as escovas estariam baseadas em software Java, e que os atacantes terão infetado as mesmas com malware para realizar o ataque DDoS em larga escala. O artigo indicava mesmo que os atacantes teriam usado este sistema para realizar um ataque DDoS massivo contra um site na Suíça, que se manteve inacessível durante horas.

    A história terá sido certamente cativante, e rapidamente vários sites de notícias começaram a publicar a mesma. No entanto, existe um ligeiro problema com a mesma – esta nunca aconteceu.

    A empresa de segurança Fortnite, que foi indicada no artigo original como a que descobriu o malware, afirma não ter conhecimento de qualquer género de ataque realizado neste formato. Ao mesmo tempo, esta também afirma que não existe, até ao momento, conhecimento de uma rede botnet que tenha como origem escovas dos dentes.

    Apesar de dispositivos da Internet das Coisas certamente terem a capacidade de realizarem ataques DDoS, caso seja explorados para tal, é altamente improvável que um sistema de escovas dos dentes tenha tal capacidade.

    Algumas fontes acreditam que a história original terá sido tirada fora do conceito, ou exageradamente elaborada para dar mais destaque aos leitores, invés de contar com factos.

    Além disso, não existem atualmente escovas elétricas no mercado que se interliguem diretamente com a Internet. Invés disso, as que existem usam Bluetooth para comunicarem com dispositivos externos, como os smartphones dos utilizadores, que depois são usados para enviar a informação para sistemas remotos.

    Como sempre, é importante ter em conta a informação que é recolhida e a forma como a mesma é obtida. Muitas vezes, existem portais que optam por partilhar informação sem a devida análise da mesma, o que leva a que dados falsos possam ser transpostos para os leitores.

  • Maior banco da China evitou ransomware… por usar servidor desatualizado

    Maior banco da China evitou ransomware… por usar servidor desatualizado

    Maior banco da China evitou ransomware… por usar servidor desatualizado

    O Banco Industrial e Comercial da China, ICBC, é considerado uma das maiores entidades bancárias no mercado a nível de ativos. Faz alguns meses, a entidade sofreu um ataque informático, onde ransomware terá sido instalado nos sistemas da mesma.

    Apesar de o ataque ter sido rapidamente contido, isto não terá ocorrido porque a entidade financeira estaria a usar práticas de segurança adequadas e recentes… mas sim exatamente o oposto. O ataque apenas foi contido rapidamente porque o sistema afetado pelo ransomware estaria consideravelmente obsoleto.

    Não é a primeira vez que existem histórias de sistemas considerados como “fundamentais” que se encontram em sistemas bastante antigos, muitas vezes com décadas sem atualizações. Isto nem sempre é considerado seguro, mas para o caso da ICBC pode ter sido uma ajuda.

    Os ataques de ransomware possuem apenas um objetivo: levar ao bloqueio dos ficheiros nos sistemas infetados, obrigando as entidades a pagarem caso pretendam voltar a ter acesso aos mesmos. Em alguns casos, esses conteúdos são roubados antes de serem encriptados, para levar as vítimas a terem ainda mais tendência a pagar – ou podem ter os dados publicamente divulgados.

    No caso da ICBC, a entidade foi alvo de um ataque de ransomware pelo grupo Lockbit. No entanto, este não terá sido mais grave porque os sistemas afetados estariam consideravelmente desatualizados.

    A entidade usava um servidor extremamente antigo, da fabricante Novell, o qual se encontrava com o seu próprio sistema operativo Novell NetWare. Este sistema possui mais de 20 anos, sendo que a marca Novell não se encontra no mercado faz mais de dez anos.

    O único motivo pelo qual o ransomware não terá causado mais estragos dentro da entidade será porque o mesmo não estava preparado para encontrar um sistema tão antigo. Quando este tentou correr dentro do Novell NetWare, o mesmo simplesmente falhou, uma vez que o malware não estaria preparado para este sistema.

    Neste caso em particular, isso pode ter ajudado a prevenir que o ataque tivesse dimensões mais elevadas, e teoricamente, pode ter sido considerada uma proteção contra o mesmo. No entanto, de longe, usar um sistema antigo não é de todo recomendado, visto existirem outras falhas que podem ser exploradas para ataques em larga escala.

    Ao mesmo tempo, é importante ter em conta que este ataque também demonstrou que a entidade necessita de atualizar os seus sistemas, já que os atacantes terão acedido ao sistema interno da entidade explorando uma falha do Citrix Bleed, que era conhecida faz mais de um mês antes do ataque.

  • Aplicações maliciosas descobertas na Google Play Store

    Aplicações maliciosas descobertas na Google Play Store

    Aplicações maliciosas descobertas na Google Play Store

    De tempos a tempos surgem algumas aplicações maliciosas diretamente da Google Play Store, que conseguem contornar as medidas de proteção da plataforma. Recentemente mais um conjunto de apps foram descobertas, contendo um malware conhecido como VajraSpy.

    Segundo os investigadores da empresa de segurança ESET, foram descobertas 12 aplicações maliciosas, das quais seis estiveram na Play Store entre 1 de Abril de 2021 e 10 de Setembro de 2023. As apps foram entretanto removidas da plataforma da Google, mas ainda podem encontrar-se em plataformas de terceiros.

    O malware VajraSpy é conhecido por roubar informação sensível dos dispositivos dos utilizadores, incluindo contactos e mensagens, e possui mesmo a capacidade de gravar as chamadas que estes realizam. O malware, embora não seja recente, tem vindo a propagar-se em apps fornecidas fora da Play Store.

    Os investigadores apontam que o malware terá sido criado por um grupo conhecido como Patchwork APT, que está ativo desde meados de 2015 e foca-se sobretudo em dispositivos no Paquistão.

    Segundo os investigadores, das doze aplicações maliciosas descobertas contendo o malware, seis estariam disponíveis diretamente na Play Store. Estas disfarçavam-se de apps de comunicação e notícias, prometendo aos utilizadores meios seguros de contacto. Se as permissões fossem dadas, estas começaram a recolher os dados dos dispositivos das vítimas. Estima-se que mais de 1000 downloads tenham sido feitos das apps, mas o valor pode ser consideravelmente superior se tivermos em conta que as aplicações também estariam acessíveis em plataformas alternativas à Play Store.

    Como sempre, a recomendação passa pelos utilizadores terem atenção aos locais de onde descarregam as suas apps, evitando fontes desconhecidas. No entanto, deve-se ter também atenção dentro de plataformas como a Google Play Store, avaliando a origem das aplicações e popularidade, bem como comentários de outros utilizadores.

  • Malware infeta mais de 2000 sistemas na Ucrânia

    Malware infeta mais de 2000 sistemas na Ucrânia

    Malware infeta mais de 2000 sistemas na Ucrânia

    As autoridades da Ucrânia confirmaram ter descoberto uma nova campanha, que se encontra a afetar sistemas no pais, apelidada de “PurpleFox”. Esta campanha terá infetado com malware mais de 2000 computadores no pais.

    De acordo com as descobertas das autoridades, o malware foca-se em infetar sistemas para obter informações sensíveis dos mesmos. Não foram revelados dados concretos sobre se os sistemas afetados dizem respeito a computadores usados pelas autoridades ou serão também de civis, mas o número pode ser consideravelmente mais elevado que as 2000 máquinas identificadas.

    O malware PurpleFox foi inicialmente descoberto em 2018, e encontra-se focado para sistemas Windows. O mesmo instala-se como um rootkit no sistema, e pode mesmo permanecer depois do sistema ser reiniciado ou de sistemas de segurança o removerem.

    O malware recebe os seus comandos de um sistema central em controlo dos atacantes, de onde são enviados os pedidos para realizar ataques DDoS em larga escala ou para roubar informação dos sistemas.

    Este malware instala-se sobretudo sobre programas MSI maliciosos e outros instaladores, que podem ser descarregados de diferentes fontes. As autoridades acreditam que a campanha terá como objetivo levar à obtenção de informações privilegiadas de sistemas internos da Ucrânia.

    É ainda referido que o malware tenta contactar com sistemas localizados na China, com o objetivo de obter os comandos para realizar as mais variadas tarefas. Desconhece-se para já a origem desta nova campanha de malware ou os autores da mesma.

  • Criador do ransomware TrickBot condenado a cinco anos de prisão

    Criador do ransomware TrickBot condenado a cinco anos de prisão

    Criador do ransomware TrickBot condenado a cinco anos de prisão

    Vladimir Dunaev, o criador do malware Trickbot, foi condenado a uma pena de prisão de 5 anos e quatro meses pelas suas atividades no desenvolvimento do malware e distribuição do mesmo contra várias entidades, entre as quais encontram-se hospitais e outros centros de saúde a nível global.

    De acordo com os documentos do tribunal, Vladimir Dunaev foi considerado culpado pela sua ligação com o desenvolvimento do malware. De relembrar que Dunaev foi detido pelas autoridades em Setembro de 2021, quando tentava sair da Coreia do Sul depois de ter estado preso na região por quase um ano, derivado da pandemia.

    Depois de ter sido detido, o mesmo considerou-se culpado dos crimes que era acusado. Em particular pelas suas ligações com a criação do Trickbot, que foi bastante usado para infetar sistemas em larga escala, e chegou mesmo a afetar instituições de saúde e críticas para o mercado.

    Dunaev foi ainda considerado culpado de ter distribuído este ransomware para diversos locais, além dos hospitais. O mesmo chegou a atingir escolas, empresas e várias outras instituições, a grande maioria localizada nos EUA, embora com raízes para outros países.

    O programador começou a trabalhar no malware em Junho de 2016, na altura com o código ainda bastante simples e focado apenas para recolher dados através da alteração das definições de proxy no Firefox. No entanto, o malware foi evoluindo desde então, atingido o pico com a criação de uma variante focada para ransomware, que encriptava dados das entidades a troco de um pedido de resgate.

  • Novo malware descoberto em campanhas de ciberespionagem

    Novo malware descoberto em campanhas de ciberespionagem

    Novo malware descoberto em campanhas de ciberespionagem

    Um grupo de hackers anteriormente desconhecido começou a usar uma nova técnica para infetar sistemas usando um sofisticado malware. O grupo Blackwood desenvolveu um novo malware, apelidado de NSPX30, que está a ser usado em ataques direcionados de espionagem contra empresas e individuais.

    Os investigadores da empresa ESET revelaram que o malware tem vindo a ser distribuído desde 2018, mas as raízes do seu código fonte datam de 2005. Acredita-se que o malware tem vindo a ser usado como forma de recolher dados de empresas para espionagem do governo da China.

    O malware é distribuído como parte de pacotes de atualização para software legítimo, como é o caso do WPS Office, QQ e outras aplicações, algumas com raízes na China. O malware possui a capacidade de intercetar o tráfego da rede, e de ocultar os envios de pedidos para os servidores em controlo dos atacantes, para onde também era enviada a informação depois de roubada dos sistemas infetados.

    Os investigadores acreditam que este malware terá sido uma evolução de outros usados em campanhas de espionagem no passado, tendo em conta a raiz do seu código fonte. No entanto, foi eventualmente melhorado para ocultar as suas atividades e recolher o máximo de informação possível no processo.

    A ESET acredita que o malware encontra-se focado em empresas e indivíduos específicos, não sendo um malware que se destine a ser usado para atacar um grupo alargado de sistemas.

  • Reino Unido alerta para ransomware criado com ajuda de Inteligência Artificial

    Reino Unido alerta para ransomware criado com ajuda de Inteligência Artificial

    Reino Unido alerta para ransomware criado com ajuda de Inteligência Artificial

    A Inteligência Artificial encontra-se cada vez mais presente no dia a dia dos utilizadores, e isto também a torna mais acessível para criminosos, que a pretendem usar para fins menos “legais”.

    Um dos exemplos encontra-se no uso da IA para malware, que pode permitir a criação de novas ameaças com o potencial de causar fortes danos aos sistemas e empresas. A pensar nisso, a NCSC do Reino Unido veio agora deixar o alerta que poderemos estar para ver uma nova vaga de ransomware no mercado, que vai aproveitar a IA para se desenvolver e evoluir.

    A agência de segurança indica que, nos próximos dois anos, poderemos verificar um aumento considerável nos casos de ransomware que usa IA para evoluir, e com o objetivo de causar danos ainda maiores a individuais e empresas.

    Ao mesmo tempo, a entidade acredita que a IA pode criminosos digitais novatos a evoluírem nas suas técnicas, e a criarem ameaças ainda maiores para o mercado em geral. Espera-se que as primeiras ameaças criadas neste sentido comecem a surgir nos próximos dois anos.

    A maioria das plataformas LLM atualmente no mercado, como o ChatGPT e Copilot, contam com algumas medidas de proteção que previnem a criação de código malicioso ou que possa ser usado para atos ilícitos. No entanto, existem formas de contornar o mesmo, e até existem alguns LLM que são criados especificamente para este fim.

    Um dos exemplos encontra-se no WormGPT, um serviço de IA pago que pode ser usado para criar código de malware diverso. Este pode ser usado tanto para malware diretamente, como também para criar mensagens de phishing convincentes.

    O WormGPT é um claro exemplo de como a IA já não se encontra limitada apenas a sistemas controlados e seguros, e pode começar a ser usada em larga escala para malware e ataques diversos. Estima-se que estes géneros de sistemas venham apenas a aumentar com o passar do tempo, e conforme as tecnologias de IA também vão evoluindo no mercado.

  • Ransomware Kasseika tenta desativar processos de softwares antivírus

    Ransomware Kasseika tenta desativar processos de softwares antivírus

    Ransomware Kasseika tenta desativar processos de softwares antivírus

    Recentemente, um grupo de investigadores revelou ter descoberto um novo ransomware, que se encontra a usar drivers de antivírus para desativar as funcionalidades dos mesmos nos sistemas a infetar.

    A campanha do ransomware encontra-se apelidada de “Kasseika”, e de acordo com os investigadores, consiste em usar drivers de sistemas de segurança para contornar as proteções nos sistemas que se pretenda infetar.

    Segundo os investigadores da Trend Micro, o ransomware foi inicialmente descoberto em Dezembro de 2023, mas acredita-se que as atividades tenham sido realizadas pelo mesmo durante bastante tempo antes disso. O ransomware possui indícios de ser baseado na família do BlackMatter.

    O código-fonte do BlackMatter nunca foi oficialmente divulgado, desde que as operações do mesmo encerraram em 2021. Como tal, acredita-se que o novo ransomware tenha sido criado por antigos membros responsáveis pelo ransomware antigo.

    O ransomware distribui-se sobretudo sobre mensagens de phishing, enviadas para funcionários de empresas com o objetivo de roubar dados de acesso, e assim permitir que os atacantes possam aceder à rede interna.

    imagem do ransomware em ação

    Depois de infetar o sistema, o malware tenta começar por desativar os softwares de segurança que se encontrem no mesmo. Usando uma driver modificada, o mesmo tenta terminar os processos vulgarmente usados por software de segurança – de uma lista de 991 processos.

    O objetivo será evitar que os softwares de segurança identifiquem as atividades do malware, e desta forma, possam evitar que os conteúdos sejam encriptados. Feito isto, o processo continua com as suas tarefas, recolhendo dados sensíveis e enviando para sistemas em controlo dos atacantes.

    De acordo com os investigadores, o ransomware pede 50 BTC para desbloquear os ficheiros dos sistemas infetados, o que corresponde a cerca de 2,000,000 dólares. Eventualmente, caso o pagamento não seja realizado em 72 horas, os atacantes adicionam um custo adicional de 500.000 dólares.

    Como sempre, os utilizadores devem ter extremo cuidado com emails que requeiram o download de conteúdos ou a visualização de documentos suspeitos que se encontrem em anexo aos mesmos.

  • Ataques de ransomware exploram fraca segurança em instalações do TeamViewer

    Ataques de ransomware exploram fraca segurança em instalações do TeamViewer

    Ataques de ransomware exploram fraca segurança em instalações do TeamViewer

    Um grupo de investigadores da empresa de segurança Huntress revelou recentemente a descoberta de um novo formato de ataque, que se encontra a explorar instalações inseguras do TeamViewer.

    O TeamViewer é uma popular aplicação de acesso remoto, que permite aos utilizadores acederem rapidamente aos seus sistemas ou para fornecer suporte a outros utilizadores de forma mais simples, como se estivessem ao lado dos mesmos.

    No entanto, recentemente a aplicação tem vindo a ser usada para a realização de ataques. Os investigadores descobriram que existem atacantes a procurarem instalações vulneráveis da aplicação, para obterem acesso aos sistemas e infetarem os mesmos com malware ou para acederem diretamente a dados sensíveis.

    Os principais alvos são sobretudo empresas, onde os atacantes tentam obter acesso a outros sistemas na mesma rede, e recolher dados internos e de clientes. Quando os dados são recolhidos, os atacantes instalam ransomware num dos sistemas, com a intenção de bloquear todas as máquinas dentro da mesma rede.

    Este género de ataques não se encontra relacionado com falhas diretas no TeamViewer, mas sim com erros na forma como as instalações são configuradas. Em muitos casos, os utilizadores optam por usar configurações simples e de fraca segurança, o que deixa em aberto a possibilidade de se aceder ao sistema remotamente.

    De notar ainda que este género de ataques não é inteiramente novo. Existem vários registos de ataques que foram levados a cabo usando softwares de controlo remoto incorretamente configurados, ou com fracas medidas de segurança aplicadas.

    Caso tenha uma aplicação deste género no seu sistema, recomenda-se que garanta que todos os acessos são controlados e que usa medidas de segurança para evitar acessos de terceiros indesejados.

  • Malware para macOS usa registos DNS para atacar sistemas

    Malware para macOS usa registos DNS para atacar sistemas

    Malware para macOS usa registos DNS para atacar sistemas

    Recentemente foi descoberta uma nova técnica, usada por hackers para roubarem fundos de carteiras de criptomoedas de utilizadores no macOS, usando apps maliciosas e registos DNS no processo.

    A campanha encontra-se focada para utilizadores do macOS Ventura e mais recente, sobretudo para quem tende a descarregar apps pirateadas de sites na internet.

    De acordo com os investigadores da Kaspersky, foi recentemente descoberta uma campanha que usa este género de aplicações para infetar os sistemas das vítimas, levando a que sejam roubados dados sensíveis das mesmas. A maioria faz-se passar por ativadores de software diverso.

    Quando a aplicação é executada, requer que os utilizadores coloquem as suas senhas de administrador do sistema, a partir do qual se leva ao início do roubo de dados – caso esta senha seja introduzida.

    O malware começa por contactar o servidor de controlo dos atacantes, de onde recebe os comandos necessários para proceder com o ataque e o download de aplicações adicionais para levar a cabo o mesmo.

    Curiosamente, os investigadores descobriram que o método de contacto com o servidor dos atacantes é feito de uma forma peculiar, usando os registos TXT de um domínio para obter os detalhes de acesso e os comandos.

    Usando este método, o malware é capaz de se ocultar mesmo em redes que estejam ativamente monitorizadas, fazendo-se passar por um simples pedido de DNS.

    Uma vez instalado no sistema, o malware tenta obter acesso a carteiras de criptomoedas, roubando os fundos das mesmas, bem como recolher os dados de login que se encontrem guardados no sistema.

    Como sempre, os utilizadores devem ter extremo cuidado no download de aplicações de fontes desconhecidas, ainda mais de programas pirateados, regularmente a fonte de origem para distribuição de malware.

  • TeamViewer usado em novos ataques de ransomware

    TeamViewer usado em novos ataques de ransomware

    TeamViewer usado em novos ataques de ransomware

    Vários grupos de ransomware começaram novamente a usar ferramentas de acesos remoto aos sistemas como forma de infetarem máquinas dentro das entidades, com o objetivo de ativarem o código do ransomware nos mesmos.

    Mais concretamente, recentemente foi descoberto que a aplicação do TeamViewer encontra-se a ser usada como porta de entrada para estes ataques. Depois de obtido o acesso, os criminosos usam sistemas de encriptação que são baseados no ransomware do LockBit.

    O TeamViewer é uma aplicação legitima de acesso remoto, bastante usada sobretudo em meios empresariais, como forma de permitir o acesso a diferentes sistemas de fontes externas. No entanto, a ferramenta tem vindo a ser cada vez mais usada também para variados esquemas e ataques, que tentam obter acesso aos sistemas onde o software se encontra, para instalar malware e realizar outras atividades maliciosas.

    Na realidade, em 2016, o TeamViewer já tinha sido usado para infetar sistemas de potenciais vítimas, que alegavam que os seus sistemas tinham sido comprometidos depois de serem feitos acessos não autorizados aos mesmos usando a ferramenta.

    A TeamViewer sublinhou na altura que o acesso estaria a ser feito por acesso às contas dos utilizadores, usando dados de login comprometidos e não devido a uma falha zero-day na mesma.

    No entanto, mesmo nos dias atuais, ainda existem grupos de ransomware que se encontram a usar o TeamViewer como meio de instalar ransomware em sistemas comprometidos, usando contas que tiveram os seus dados de login comprometidos e onde a aplicação estaria instalada.

    O foco dos atacantes encontra-se em sistemas empresariais, que são depois usados para se obter acesso a outros sistemas dentro da mesma rede, levando a ainda mais avultados prejuízos para as entidades, com múltiplos sistemas comprometidos.

  • Novo malware é capaz de contornar proteções do Windows

    Novo malware é capaz de contornar proteções do Windows

    Novo malware é capaz de contornar proteções do Windows

    Um grupo de investigadores da empresa de segurança Trend Micro revelou ter descoberto uma falha no Windows, que pode permitir a malware contornar algumas das medidas de segurança implementadas pelo sistema para proteger os utilizadores.

    Os investigadores revelaram ter descoberto uma nova variante de malware, conhecida como Phemedrone Stealer, que se encontra a ser usada para ativamente explorar uma falha no Windows, sobre o sistema do Windows Defender SmartScreen.

    O malware é conhecido por ser usado para o roubo de dados de login e informação pessoal dos sistemas infetados. De acordo com os investigadores, este pode também contornar as proteções do Windows Defender SmartScreen, que se encontra ativo no Windows para proteger os utilizadores de malware.

    Usando ficheiros maliciosamente criados com a extensão .url, usada para atalhos de links, o malware é capaz de executar código malicioso no sistema contornando as proteções do mesmo. Com isto, o atalho pode ser usado para abrir aplicações e código que contorna a análise do SmartScreen.

    Quando o malware é executado, procede com o download de mais aplicações que são usadas para a recolha dos dados. Os dados são recolhidos de várias fontes, como senhas guardadas no navegador, gestores de senhas e outros locais.

    Estando os dados recolhidos, os conteúdos são enviados para os atacantes via o Telegram, onde o malware usa a API da plataforma para enviar os dados para canais específicos em controlo dos atacantes.

    Felizmente, a Microsoft já terá corrigido o problema que afetava o SmartScreen no passado dia 14 de Novembro, portanto os utilizadores que tenham os seus sistemas atualizados não devem encontrar-se mais afetados por este problema.

    Ainda assim, será sempre importante ter atenção aos conteúdos descarregados de fontes desconhecidas, mesmo que aparentem ser benignos ou casuais – como atalhos.

  • Novo esquema de malware infeta mais de 170 mil boxes de Android TV

    Novo esquema de malware infeta mais de 170 mil boxes de Android TV

    Novo esquema de malware infeta mais de 170 mil boxes de Android TV

    Existe uma grande procura por boxes de TV Android, que permitem aceder a várias aplicações do sistema da Google no grande ecrã. No entanto, faz também algum tempo que existem algumas questões a nível de privacidade e segurança destes sistemas, tendo em conta que muitas das boxes no mercado – sobretudo as mais baratas – contam também com software modificado com malware ou outro género de alterações maliciosas.

    Recentemente, a empresa de segurança Xlabs revelou ter descoberto um novo grupo de cibercrime, que tem vindo a usar boxes de TV Android e similares para distribuir malware, gerando milhões de dólares em receitas com a prática desde meados de 2015.

    Os investigadores afirmam que este malware encontra-se com mais de 170.000 dispositivos ativos numa rede botnet, apelidada de Bigpanzi. No entanto, os investigadores também afirmam que foram identificados mais de 1.3 milhões de endereços IP que foram associados com as atividades do esquema, pelo que o número de dispositivos afetados pode ser consideravelmente superior.

    esquema de publicidade maliciosa do malware

    O Bigpanzi é um malware que se distribui sobre atualizações do firmware para boxes de Android TV e similares, e por vezes em apps distribuídas fora da Play Store. Os atacantes usam os dispositivos dos utilizadores para as mais variadas tarefas, a maioria relacionada com esquemas maliciosos.

    Se instalado, o Bigpanzi é capaz de usar o dispositivo para ataques DDoS, para servir como proxy para outros utilizadores ou como forma de apresentar publicidade, com as receitas a serem enviadas para os criminosos.

    O malware possui a capacidade de alterar diversas configurações do sistema, para se manter ativo e também para realizar as suas atividades. Entre estas encontra-se a ligação a diversos servidores de controlo, de onde são recebidos comandos para as mais variadas atividades.

    Os investigadores apontam que a maioria dos dispositivos infetados pelo malware encontram-se localizados no Brasil, e que as atividades do mesmo têm vindo a surgir desde 2015. Os investigadores acreditam que as atividades deste malware têm vindo a ser realizadas de forma oculta e bastante cautelosa, para evitar a identificação, e que terão gerado milhões de dólares em receitas para os criminosos.

    Durante a investigação, foram também descobertos indícios que podem indicar a origem do malware e os seus criadores, mas os investigadores não revelaram mais detalhes sobre este ponto, possivelmente deixando a questão para as autoridades.

    As boxes de Android TV tem vindo a ser alvo de várias controvérsias, sobretudo pelas adulterações feitas com intenções maliciosas nas boxes baratas que se encontram disponíveis em várias plataformas online – incluindo em lojas como a Amazon.

  • iShutdown ajuda a identificar spyware em dispositivos da Apple

    iShutdown ajuda a identificar spyware em dispositivos da Apple

    iShutdown ajuda a identificar spyware em dispositivos da Apple

    Um grupo de investigadores revelou ter descoberto que algum spyware para dispositivos da Apple pode ser identificado analisando os registos do Shutdown.log, um log do sistema que é usado pela Apple para registar eventos de boot no sistema.

    A empresa de segurança Kaspersky desenvolveu um script em Python, que é capaz de automatizar este processo, analisando o registo do sistema para identificar dispositivos que tenham sido potencialmente comprometidos. Este método é consideravelmente mais simples de usar do que as alternativas até agora existentes no mercado.

    O Shutdown.log é um registo do sistema da Apple, que indica todos os eventos que ocorreram durante o processo de arranque do mesmo. Este inclui detalhes como os serviços que foram iniciados no sistema e os seus identificadores.

    O script, apelidado de “iShutdown”, permite realizar a tarefa de análise da informação num formato consideravelmente mais rápido. Até agora, a única forma de se verificar possíveis indícios de uma infeção no sistema passavam por examinar os backups do sistema, que se encontram encriptados, ou analisar os registos de tráfego de dados.

    Este script torna o processo consideravelmente mais simples e prático, além de que conta com um elevado grau de confiança para identificar processos maliciosos. No entanto, o script ainda exige que os utilizadores tenham alguns conhecimentos técnicos para analisar os resultados, portanto não será algo certamente ao alcance de todos.

    Ainda assim, o processo é consideravelmente mais simples do que as alternativas. E será certamente importante para analisar dispositivos que se tenham suspeitas de terem sido infetados com malware como o Pegasus.

    Para uma análise eficaz, os investigadores recomendam que os utilizadores reiniciem os seus dispositivos de forma regular, o que pode ajudar a identificar os processos maliciosos – uma vez que estes apenas são registados no log durante o arranque.

  • Base de dados com 71 milhões de e-mails colocada na Have I Been Pwned

    Base de dados com 71 milhões de e-mails colocada na Have I Been Pwned

    Base de dados com 71 milhões de e-mails colocada na Have I Been Pwned

    A plataforma Have I Been Pwned, conhecida por permitir aos utilizadores verificarem se as suas contas de emails e dados pessoais podem ter sido comprometidas, revelou durante o dia de hoje um novo leak que foi adicionado na sua plataforma.

    Em questão encontra-se uma base de dados contendo 71 milhões de endereços de email, que se acredita terem sido recolhidos de várias fontes – com foco em malware que foi usado para roubo dos dados. O leak encontra-se apelidado de “Naz.API”, e possui mais de mil milhões de credenciais de 71 milhões de endereços de email diferentes.

    Estes dados terão sido combinados numa lista, envolvendo informação que terá sido recolhida de malware em sistemas infetados, mas também de listas públicas de leaks antigos e de outras bases de dados roubadas ao longo dos anos.

    Esta base de dados não é propriamente recente, e tinha vindo a surgir em alguns fóruns e sites da dark web faz alguns meses, mas recentemente começou a ganhar popularidade depois de ter sido disponibilizada num formato de mais fácil acesso.

    Troy Hunt, o criador do Have I Been Pwned, revelou que a base de dados será agora adicionada na sua plataforma. Os utilizadores podem pesquisar se fazem parte desta base de dados diretamente no site, ou caso tenham os seus emails ativos no sistema de notificações, devem começar a receber as mensagens durante as próximas horas.

    O investigador de segurança afirma que a base de dados conta com 319 ficheiros, num total de 104 GB e com mais de 70,840,771 endereços de email únicos – mas um valor consideravelmente mais elevado de senhas associadas a cada endereço. Existem ainda contas sem emails associados.

    Os interessados podem pesquisar no site do Have I Been Pwned pelos seus endereços de email, de forma a confirmarem se fazem parte da lista.

  • MacOS encontra-se vulnerável a malware capaz de contornar o XProtect

    MacOS encontra-se vulnerável a malware capaz de contornar o XProtect

    MacOS encontra-se vulnerável a malware capaz de contornar o XProtect

    Os utilizadores do sistema macOS devem ficar particularmente atentos a um novo género de malware, que se encontra a propagar para o sistema em força nas últimas semanas.

    De acordo com vários investigadores, um conjunto de malwares para macOS começaram recentemente a surgir em várias campanhas, com o destaque para o facto de conseguirem contornar algumas das medidas de proteção do sistema, entre as quais o XProtect – o sistema de anti malware integrado no sistema da Apple.

    Os investigadores da empresa de segurança SentinelOne referem que, apesar de a Apple estar constantemente a atualizar a sua solução de segurança, o malware tem vindo também a ser atualizado para contornar estas proteções.

    Um dos exemplos encontra-se no malware KeySteal, que se foca em roubar dados de login do sistema. Este malware foi inicialmente descoberto em 2021, mas tem vindo a evoluir desde então, e atualmente foi atualizado para contornar a proteção do macOS.

    A Apple atualizou as assinaturas da sua base de dados para proteger os utilizadores do KeySteal em Fevereiro de 2023, e desde então não foram lançadas correções. Isto apesar do malware ter vindo a evoluir.

    Existem ainda outras famílias de malware que, apesar de serem relativamente recentes, ainda não se encontram na base de dados do sistema da Apple, para garantir a proteção suficiente para os utilizadores.

    Isto coloca os mesmos em risco de poderem descarregar conteúdo potencialmente malicioso, capaz de contornar as proteções do sistema. Em parte, cabe à Apple atualizar as suas bases de dados respeitantes ao XProtect, mas isto tem sido feito de forma relativamente lenta, em contraste com a evolução do malware.

  • X alvo de vastas campanhas falsas de criptomoedas

    X alvo de vastas campanhas falsas de criptomoedas

    X alvo de vastas campanhas falsas de criptomoedas

    Os utilizadores da X encontram-se a ser alvo de campanhas de malware, focadas em criptomoedas, que continuam a aumentar de forma considerável na plataforma sem aparente controlo.

    Tal como a grande maioria das plataformas sociais, a X, antigo Twitter, aplica publicidade na sua plataforma. No entanto, os utilizadores encontram-se a verificar um aumento considerável a nível de publicidade usada para campanhas de phishing associadas com criptomoedas.

    Estes esquemas passam por links para supostas campanhas de Airdrop e outros formatos de ofertas de criptomoedas, normalmente acompanhadas por links para salas de conversa no Telegram ou para sites com o objetivo de levar os utilizadores a ligarem as suas carteiras de criptomoedas, que são eventualmente esvaziadas.

    Tendo em conta que a publicidade da X é direcionada, estes géneros de campanhas encontram-se focadas sobretudo para utilizadores que possuem preferências para este género de conteúdos.

    imagem de esquema na x

    O problema verifica-se mesmo para quem tenha contas verificadas, que continua a ver esta publicidade maliciosa nas suas linhas de tempo. E apesar de este género de campanhas não serem novas, vários investigadores de segurança apontam que têm vindo a aumentar nos últimos meses, e que as vítimas continuam a aumentar.

    O problema é de tal magnitude que as Notas comunitárias da plataforma encontram-se agora a ser usadas para informar de campanhas publicitárias maliciosas. No entanto, estas provam ser ineficazes contra uma vasta lista de campanhas ativas.

  • Hackers russos eliminaram dados centrais da operadora Ucraniana Kyivstar

    Hackers russos eliminaram dados centrais da operadora Ucraniana Kyivstar

    Hackers russos eliminaram dados centrais da operadora Ucraniana Kyivstar

    Os hackers russos que, em Dezembro, atacaram a operadora ucraniana Kyivstar, uma das maiores do pais, terão eliminado todos os dados dos sistemas centrais da rede da operadora, causando uma interrupção prolongada dos serviços e perda de dados.

    Illia Vitiuk, chefe dos Serviços de Segurança da Ucrânia, afirma que a investigação do ataque indicou que os hackers terão obtido acesso à rede da operadora em Maio de 2023, mas mantiveram-se silenciosos durante os meses seguintes. Quando o ataque foi realizado, no final do ano, todos os sistemas a que os atacantes possuíam acesso foram completamente eliminados e dados centrais da operadora destruídos.

    As autoridades afirmam que os hackers russos obtiveram acesso em Maio, mas apenas em meados de Novembro terão conseguido obter acesso total a vários sistemas da operadora, o que pode justificar o facto do ataque pleno apenas ter sido realizado em dezembro.

    É ainda indicado que se acredita que o ataque tenha sido bastante sofisticado, com uso de malware único e focado para o objetivo final. De relembrar que, na altura, o ataque foi confirmado pelo grupo conhecido como Solntsepek, que se acredita ter ligações com grupos de hackers russos.

    A investigação do incidente ainda se encontra a ser realizada, portanto é possível que mais detalhes venham a ser conhecidos em breve.

  • Falha no Chrome pode permitir roubo persistente de contas da Google

    Falha no Chrome pode permitir roubo persistente de contas da Google

    Falha no Chrome pode permitir roubo persistente de contas da Google

    Um grupo de investigadores revelaram ter descoberto uma nova vulnerabilidade grave no Google Chrome, que pode permitir que sejam roubados conteúdos sensíveis do mesmo que podem permitir acesso às contas dos utilizadores.

    Os investigadores da empresa de segurança CloudSEK revelaram ter descoberto uma nova vulnerabilidade no Google Chrome, que pode permitir a terceiros obterem acesso às contas da Google das vítimas. Esta falha explora uma nova vulnerabilidade descoberta no protocolo de autenticação OAuth2.

    A falha exige que o sistema operativo já se encontre comprometido com malware, mas basicamente esta pode permitir que os atacantes consigam regenerar cookies de autenticação via o Chrome, que podem permitir um acesso consistente às contas das vítimas, mesmo se o IP e senhas de acesso forem modificadas.

    A Google também confirmou a falha, mas esta encontra-se associada com a própria forma como o navegador funciona, e exige que o sistema já se encontre comprometidos por outros meios. Para já, a empresa apenas recomenda que os utilizadores ativem o Enhanced Safe Browsing no navegador para prevenir o download de malware e outros conteúdos maliciosos no sistema.

  • 25 aplicações maliciosas descobertas na Google Play Store

    25 aplicações maliciosas descobertas na Google Play Store

    25 aplicações maliciosas descobertas na Google Play Store

    Os dispositivos Android estão particularmente abertos a potenciais ameaças digitais, tendo em conta a abertura do sistema. E recentemente, investigadores da empresa de segurança McAfee confirmaram ter descoberto uma nova variante de malware que pode ter infetado milhares de dispositivos.

    O malware foi inicialmente descoberto em várias apps que estariam disponíveis via a Google Play Store. De acordo com os investigadores da McAfee Mobile Research, as aplicações maliciosas exploravam um backdoor usando a framework Xamarin.

    Este malware foi apelidado de “Xamalicious”, e segundo os investigadores, depois das aplicações serem instaladas no sistema, estas tentavam obter acesso a permissões mais elevadas no mesmo, como acesso ao serviço de acessibilidade, tentando enganar as vítimas para ativarem as mesmas.

    Se realizar esse passo, o malware procedia com a ligação a um servidor de controlo remoto, de onde era descarregado malware secundário, que poderia permitir o total controlo do sistema e roubo de conteúdos dos mesmos.

    exemplo de aplicação maliciosa

    Os investigadores afirmam ter descoberto pelo menos 25 aplicações maliciosas na Play Store contendo este malware, algumas das quais encontravam-se ativas desde meados de 2020. Os dados das mesmas apontam ainda que estas podem ter sido instaladas em mais de 327,000 dispositivos diferentes – embora o número possa ser consideravelmente mais elevado, tendo em conta instalações de fontes externas e outras plataformas.

    A Google, depois de notificada, removeu as aplicações maliciosas da sua plataforma. No entanto, os utilizadores que as tenham instalado ainda podem ter os seus dispositivos ativamente comprometidos.

  • Microsoft desativa protocolo MSIX no Windows após ataques

    Microsoft desativa protocolo MSIX no Windows após ataques

    Microsoft desativa protocolo MSIX no Windows após ataques

    A Microsoft encontra-se a desativar o protocolo MSIX ms-appinstaller no Windows, depois de terem sido identificados vários casos de malware a explorar o mesmo para ataques.

    Foram recentemente descobertas várias campanhas de malware a explorar uma falha através deste protocolo do Windows, que permite contornar algumas das medidas de segurança do sistema de prevenção a ataques, como é o caso do Defender SmartScreen.

    A Microsoft afirma que os atacantes usam pacotes assinados MSIX para explorar a falha, que normalmente são enviados como ficheiros de anexo do Microsoft Teams ou através de sites falsos para software popular no mercado.

    A Microsoft afirma que os atacantes encontram-se a explorar esta falha com motivações financeiras, onde o objetivo passa por roubar dados financeiros das vítimas, bem como dados pessoais.

    A Microsoft Threat Intelligence afirma que os ataques têm vindo a ser propagados por grupos como o Storm-0569, Storm-1113, Sangria Tempest, e Storm-1674. Em todos os casos, estes usam pacotes maliciosos que exploram a falha do MSIX ms-appinstaller para instalar o malware nos sistemas Windows.

    Face ao potencial de ataques, a Microsoft encontra-se atualmente a desativar o protocolo MSIX ms-appinstaller para todas as instalações do Windows, recomendando também os administradores de sistemas a desativarem manualmente o mesmo caso não tenham instalado a versão mais recente do App Installer.

  • Hackers usam publicidade da Google para roubar 59 milhões de dólares em criptomoedas

    Hackers usam publicidade da Google para roubar 59 milhões de dólares em criptomoedas

    Hackers usam publicidade da Google para roubar 59 milhões de dólares em criptomoedas

    Hackers tem vindo a usar um serviço apelidado de “MS Drainer” para roubarem mais de 59 milhões de dólares em criptomoedas, de várias vítimas, nos últimos nove meses.

    Esta foi a conclusão de um estudo feito pela conta de segurança na blockchain “Scam Sniffer”. Os atacantes usaram publicidade da Google para distribuírem falsas aplicações de carteiras de criptomoedas, de diferentes entidades reconhecidas, com o objetivo de levarem ao roubo dos conteúdos nas mesmas.

    Basicamente, quando as vítimas realizavam a pesquisa pelas carteiras de determinadas plataformas, eram apresentadas campanhas de publicidade na Google para sites com versões modificadas das mesmas.

    Se instaladas, estas aplicações aparentavam funcionar na normalidade, acedendo aos fundos dos utilizadores, mas em segundo plano teriam integrado malware que permite enviar os fundos para carteiras em controlo dos atacantes, sem o consentimento dos utilizadores.

    O MS Drainer encontra-se a ser distribuído como um “serviço”, pelo que é possível que a campanha tenha afiliados responsáveis pelos ataques, onde o controlador da plataforma fica com uma parte das receitas roubadas. De acordo com a conta Scam Sniffer, a campanha encontra-se ativa faz mais de nove meses.

    Normalmente a Google aplica técnicas para identificar publicidade potencialmente maliciosa, sobretudo relacionada com criptomoedas. No entanto, os atacantes usaram várias técnicas para evitar a deteção por estes sistemas, e tornar mais complicado a tarefa de banir essa publicidade.

    No entanto, a publicidade também foi identificada em outros locais, como na X.

    campanha de malware scam

    Os investigadores apontam que existem mais de 10,072 sites de carteiras de criptomoedas falsas criadas para uso por esta campanha, mas o número pode ser consideravelmente mais elevado se tivermos em conta domínios que podem ter sido entretanto desativados.

    Durante o período em que a campanha esteve ativa, foram roubados mais de 58.98 milhões de dólares em criptomoedas através do esquema, de mais de 63 mil vítimas.

  • Google Chrome recebe atualização para fornecer mais segurança aos utilizadores

    Google Chrome recebe atualização para fornecer mais segurança aos utilizadores

    Google Chrome recebe atualização para fornecer mais segurança aos utilizadores

    Mesmo antes de terminar o ano, e do Natal, a Google decidiu lançar uma pequena atualização para o Chrome, que certamente vai beneficiar a segurança dos utilizadores.

    De acordo com a mensagem publicada no blog da empresa, o Chrome agora é capaz de monitorizar automaticamente as senhas dos utilizadores em segundo plano, mantendo os dados seguros contra possíveis ataques e roubos.

    A funcionalidade “Safety Check” agora corre automaticamente em segundo plano, sendo que, quando identifica que um site guardado na lista de senhas dos utilizadores tenha sido comprometido, notifica imediatamente os utilizadores de tal.

    chrome segurança em segundo plano para senhas

    Ao mesmo tempo, esta funcionalidade garante ainda que as extensões que os utilizadores se encontram a usar são seguras, monitorizando as atividades das mesmas e identificando rapidamente as que podem conter malware.

    Além disso, esta funcionalidade vai também automaticamente limitar o acesso a certas funcionalidades do navegador para sites que não tenham sido visitados durante bastante tempo. Por exemplo, nas permissões de acesso ao microfone ou à localização.

    Por fim, a empresa revelou ainda ter feito melhorias no sistema de Gestão de memória do Chrome, funcionalidade que se foca em reduzir o uso de RAM do navegador, colocando as abas em segundo plano como inativas. Agora os utilizadores podem rapidamente ver a quantidade de RAM que uma aba se encontra a usar colocando o rato sobre a aba.

  • 1.9 milhões de cartões de crédito disponibilizados gratuitamente

    1.9 milhões de cartões de crédito disponibilizados gratuitamente

    1.9 milhões de cartões de crédito disponibilizados gratuitamente

    Recentemente, uma nova lista contendo 1.9 milhões de cartões de crédito roubados foi disponibilizada gratuitamente na plataforma BidenCash, como forma de promover a plataforma entre os cibercriminosos.

    A plataforma BidenCash surgiu em 2022, tendo rapidamente ganhado destaque como uma plataforma focada para a venda de conteúdos ilícitos, a maioria cartões de crédito roubados. De tempos a tempos, a plataforma realiza algumas “campanhas de marketing”, com o objetivo de chamar à atenção dos cibercriminosos.

    Nessa ideia, agora a plataforma decidiu fornecer 1.9 milhões de cartões de crédito totalmente gratuitos. Anteriormente a plataforma já tinha disponibilizado 1.22 milhões de cartões, 2 milhões e 230 mil em diferentes “campanhas”.

    Se tivermos em conta todas as campanhas realizadas, a plataforma já disponibilizou mais de 5 milhões de cartões de crédito gratuitamente, a grande maioria roubada.

    Apesar de a maioria das “ofertas” consistirem também em números de cartões repetidos, ainda assim o número de cartões potencialmente comprometidos é elevado.

    A listagem inclui o número do cartão, data de expiração e o código CVV. As datas de expiração dos cartões agora revelados encontram-se entre 2025 e 2029.

    Obviamente, estes cartões podem agora ser usados para esquemas online, e para movimentação de dinheiro em diferentes plataformas. Não se conhecem exatamente as origens dos cartões roubados, mas acredita-se que seja uma conjugação de diferentes roubos em entidades diferentes e de vítimas com dispositivos comprometidos por malware.

  • Malware de Android “Chameleon” pode desativar ecrã de bloqueio e PIN

    Malware de Android “Chameleon” pode desativar ecrã de bloqueio e PIN

    Malware de Android “Chameleon” pode desativar ecrã de bloqueio e PIN

    Um novo malware para Android tem vindo a ficar mais ativo nas últimas semanas, focando-se em roubar dados bancários dos utilizadores. Conhecido como “Chameleon “, este malware é capaz de dar controlo aos atacantes dos dispositivos infetados, e possui capacidade de desativar os sistemas de proteção como a leitura de impressões digitais ou PIN de desbloqueio do sistema.

    Os primeiros indícios deste malware começaram a surgir em meados de Abril, com foco em alguns bancos na Austrália e plataformas de criptomoedas. No entanto, o malware agora encontra-se consideravelmente mais evoluído, e possui a capacidade de roubar mais informações dos sistemas infetados.

    De acordo com os investigadores da empresa ThreatFabric, o malware encontra-se a propagar atualmente como falsas aplicações do Chrome, que foram modificadas para integrar o malware.

    Se instalado, o malware faz-se passar por uma aplicação legitima, enquanto realiza as suas ações maliciosas em segundo plano. A aplicação tenta ainda obter acesso ao serviço de Acessibilidade do Android, de forma a ter ainda mais controlo do sistema.

    exemplo de falsa página de ajuda

    O malware tenta enganar as vítimas ao apresentar uma página HTML, onde direciona os utilizadores para ativarem o serviço de acessibilidade da aplicação sob pretextos falsos. Caso este seja permitido, o malware pode começar a tentar desativar os meios de proteção do dispositivo, onde se integra a autenticação biométrica, ecrã de bloqueio ou código PIN.

    Como sempre, é importante que os utilizadores tenham atenção a todas as aplicações que instalam nos seus dispositivos, sobretudo quando estas são provenientes de fontes desconhecidas – como sites pela internet.

  • Novo malware rouba dados bancários de 50.000 utilizadores

    Novo malware rouba dados bancários de 50.000 utilizadores

    Novo malware rouba dados bancários de 50.000 utilizadores

    Um grupo de investigadores revelou recentemente ter descoberto um novo código, criado em JavaScript, que se encontra a infetar milhares de plataformas online. O objetivo ao mesmo passa por roubar dados de entidades financeiras, que são depois usados pelos atacantes para esvaziar as contas bancárias das vítimas.

    De acordo com os investigadores, este malware encontra-se criado para se focar em mais de 40 entidades financeiras, e acredita-se que pode ter infetado mais de 50.000 utilizadores durante as últimas semanas. Os investigadores da IBM Security Trusteer afirmam que o malware começou a ser identificado em meados de Março de 2023.

    Os atacantes começam por incentivar as vítimas a instalarem determinadas aplicações nos seus sistemas ou navegadores, com o objetivo de permitir que o malware possa correr em segundo plano. Feito isto, o script malicioso é automaticamente injetado nas páginas dos bancos, quando os utilizadores acedem aos mesmos, com vista a recolher os dados de login. O script possui a capacidade de recolher tanto os dados de login como credenciais de autenticação em duas etapas, enviando essa informação para sistemas em controlo dos atacantes.

    O script encontra-se ofuscado para tentar ocultar as suas atividades dos softwares de segurança que o utilizador possa usar.

    exemplo de site comprometido no login

    Os investigadores afirmam que, apesar de o script encontrar-se estruturado para determinadas páginas de login de diferentes entidades bancárias, o mesmo pode ser adaptado facilmente para, virtualmente, qualquer site. Além disso, o mesmo permanece em contacto direto com o servidor em controlo dos atacantes, de onde recolhe também atualizações constantes do código.

    Como sempre, é importante que os utilizadores tenham atenção aos locais de onde descarregam os seus conteúdos, evitando o download de fontes desconhecidas ou que tenham origem de meios invulgares.

  • Novas ameaças multiplataforma preocupam investigadores de segurança

    Novas ameaças multiplataforma preocupam investigadores de segurança

    malware em computador

    A Equipa Global de Investigação e Análise (GReAT) da Kaspersky descobriu três ameaças multiplataforma. No seu último relatório, revela três novas estratégias implementadas pelos cibercriminosos que usam a campanha FakeSG, o ransomware Akira e o stealer AMOS macOS.

    O atual panorama do crimeware é marcado por uma evolução constante, uma vez que os cibercriminosos implementam, cada vez mais, novas táticas em múltiplas plataformas para explorar as suas vítimas. Os especialistas da Kaspersky analisaram estas ameaças, incluindo o ransomware multiplataforma, os stealers de macOS e as campanhas de distribuição de malware.

    A ciberameaça mais recente, descoberta pela GReAT, é a campanha FakeSG, em que os sites legítimos são comprometidos e exibem notificações enganosas de atualização do browser. O ato de clicar nestas notificações desencadeia a transferência de um ficheiro nocivo e, apesar de alterar os URLs, o caminho (/cdn/wds.min.php) permanece constante. O ficheiro transferido executa scripts ocultos, solicitando aos utilizadores que atualizem os seus browsers, enquanto estabelece a persistência através de tarefas agendadas. Dentro do arquivo, um ficheiro malicioso expõe o endereço de Comando e Controlo (C2), realçando a sofisticação desta campanha.

    O Akira, uma nova variante de ransomware, que afeta tanto os sistemas Windows como os sistemas Linux, conseguiu infetar mais de 60 organizações a nível global, atacando os setores de retalho, bens de consumo e educação.

    A sua adaptabilidade para funcionar em várias plataformas realça o seu impacto em diferentes sectores. O Akira partilha características com a variante Conti, tais como uma lista de exclusão de pastas idêntica, e apresenta um painel de Comando e Controlo (C2) distinto, com um design tradicional e minimalista que o protege contra tentativas de análise, o que realça a sofisticação das ciberameaças em evolução.

    Por seu lado, o stealer AMOS macOS, um programa malicioso que surgiu em abril de 2023, inicialmente vendido por 1.000 dólares/mês no Telegram, evoluiu de Go para C, implantando malvertising em sites de software clonados. Utilizando também métodos enganadores como o malvertising, consegue infiltrar-se nos sistemas macOS, recuperando e comprimindo dados do utilizador para transmissão ao servidor de Comando e Controlo, através de um UUID único para identificação. Isto reflete uma tendência crescente de stealers específicos para macOS que exploram potenciais vulnerabilidades, desviando-se da sua associação tradicional com as plataformas Windows.

    “A adaptação ao cenário dinâmico das ciberameaças é fundamental para a proteção dos nossos ambientes digitais. O surgimento deste novo crimeware, juntamente com os métodos não padronizados que os cibercriminosos empregam em diversos sistemas operativos, realça a urgência da vigilância e da inovação nos sistemas de deteção. Permanecer um passo à frente exige um esforço coletivo e enfatiza o papel crucial da investigação e colaboração contínuas para fortalecer as nossas defesas contra as ciberameaças em evolução”, afirma Jornt van der Wiel, investigador de segurança sénior na GReAT.

  • Campanha de phishing foca-se agora em centros hospitalares

    Campanha de phishing foca-se agora em centros hospitalares

    Campanha de phishing foca-se agora em centros hospitalares

    Uma nova campanha de malware encontra-se a usar a rede botnet do QakBot para se propagar, tendo agora como alvo centros hospitalares. De relembrar que a rede botnet deste malware foi encerrada pelas autoridades durante o Verão, numa operação que envolveu vários países.

    De acordo com a Microsoft, o malware aparenta encontrar-se novamente ativo, estando a ser distribuído em campanhas de phishing, desta vez com foco em entidades hospitalares. O objetivo do malware passa por tentar infiltrar-se nas redes de hospitais, recolhendo informação das mesmas.

    A Microsoft afirma que tem vindo a observar várias campanhas de phishing que usam este malware como base, para tentar criar uma nova rede de botnet com o malware inspirado no QakBot .

    As mensagens da campanha são enviadas normalmente como falsos documentos financeiros, direcionados para altos cargos das entidades hospitalares. Caso sejam executados, o malware tenta propagar-se pelo máximo de sistemas possíveis dentro da rede.

    O mesmo comunica ainda com sistemas externos, de forma a poder enviar e receber comandos para as mais variadas tarefas. De relembrar que o malware possui como principal objetivo roubar dados bancários e financeiros, e pode também usar os sistemas infetados como parte da rede botnet para mais ataques.

  • VPN da Mozilla recebe nova certificação e melhorias de segurança

    VPN da Mozilla recebe nova certificação e melhorias de segurança

    VPN da Mozilla recebe nova certificação e melhorias de segurança

    A Mozilla encontra-se a revelar um conjunto de novidades para os utilizadores que usam a sua plataforma de VPN, focadas em garantir ainda mais privacidade e segurança para os mesmos.

    Para começar, o serviço de VPN recebeu recentemente a certificação de segurança da empresa de cibersegurança Cure53, a qual identificou duas falhas de segurança críticas e de elevada prioridade – as quais foram prontamente corrigidas.

    A Mozilla deixou ainda mais detalhes sobre as falhas e como a correção das mesmas foi implementada no seu blog, sendo que os utilizadores da plataforma devem receber a correção durante os próximos dias.

    Além da correção destas falhas, a Mozilla VPN conta agora com uma novidade focada em garantir mais segurança para os utilizadores durante a navegação pela internet. A plataforma agora conta com um sistema que filtra conteúdos potencialmente maliciosos, nomeadamente sites de phishing ou que distribuam aplicações de malware.

    Por fim, a plataforma fornece ainda uma nova funcionalidade que seleciona automaticamente os servidores que fornecem o melhor desempenho para os utilizadores, dependendo da sua localização.

  • SpyLoan surge em aplicações na Google Play Store com 12 milhões de downloads

    SpyLoan surge em aplicações na Google Play Store com 12 milhões de downloads

    SpyLoan surge em aplicações na Google Play Store com 12 milhões de downloads

    Nos últimos tempos, uma nova tendência de aplicações maliciosas para Android começaram a surgir na Play Store, focadas em empréstimos financeiros. Estas aplicações tendem a fornecer aos utilizadores meios de obterem créditos facilmente – no entanto, se não estiver atento, pode acabar por acumular despesas elevadas ou fraudes.

    E recentemente foi descoberta uma campanha de aplicações maliciosas na Play Store, que durante todo o tempo que estiveram disponíveis podem ter acumulado mais de 12 milhões de downloads – embora o valor possa ser consideravelmente mais elevado, tendo em conta que também se encontram disponíveis em plataformas externas às da Google.

    A campanha, apelidada de “SpyLoan” pelos investigadores da ESET, surge com várias apps focadas em ajudar na aquisição de empréstimos financeiros. No entanto, estes levam os utilizadores a obterem os fundos, com elevadas taxas de juros, e quando as vítimas não conseguem realizar o pagamento, são chantageadas pelos atores maliciosos.

    Para estas atividades, as aplicações recolhem dos dispositivos dos utilizadores várias informações pessoais, que podem depois ser usadas para estes esquemas e chantagens. As aplicações começam por surgir na Play Store como sendo aparentemente legitimas, mas eventualmente recebem atualizações para realizarem as atividades maliciosas.

    Isto inclui a capacidade de realizarem a recolha de fotos e de gravarem conversas ou chamadas pelos dispositivos. Estes itens são depois usados pelos atacantes para a chantagem das vítimas.

    De acordo com a ESET, tecnicamente as aplicações em questão enquadram-se dentro dos termos da plataforma da Google. No entanto, as práticas que são realizadas pelas mesmas estão longe de ser legítimas. Os conteúdos das apps não são diretamente considerados como malware, mas podem recolher dados que são usados depois para a chantagem, eventualmente prejudicando os utilizadores.

    As apps identificadas pela ESET na Play Store foram entretanto removidas pela Google.

  • Campanhas publicitárias maliciosas distribuem-se no Facebook e Instagram

    Campanhas publicitárias maliciosas distribuem-se no Facebook e Instagram

    Campanhas publicitárias maliciosas distribuem-se no Facebook e Instagram

    As redes sociais são uma excelente forma dos utilizadores interligarem-se entre si. No entanto, uma grande parte das mesmas incluem publicidade como forma de sustendo – e as plataformas da Meta são bem conhecidas por isso.

    Uma das vantagens do sistema de publicidade personalizada será que os utilizadores podem rapidamente selecionar o público pretendido que as suas campanhas cheguem, para tentar cativar os mesmos a usar os produtos ou serviços.

    No entanto, esta personalização também pode ser usada para fins menos positivos. E se gosta de tecnologia, é possível que verifique alguma publicidade maliciosa no Facebook e Instagram. Recentemente foi identificada uma nova campanha de publicidade, a distribuir-se nas plataformas da Meta, com o objetivo de levar entusiastas de tecnologia a descarregarem malware para os seus sistemas.

    exemplo de publicidade falsa e maliciosa

    A campanha distribui-se como alegadas aplicações de personalização para o sistema operativo – no exemplo que a TugaTech refere, seria para o Windows e a personalização da barra de tarefas.

    Se os utilizadores acedem ao link para descarregar o software, o site apresentado é básico, mas conta com a opção para download de um ficheiro ZIP -que se encontra protegido por senha, para evitar a deteção por software de segurança.

    Se os utilizadores instalarem realmente o software, estarão a instalar malware nos seus sistemas, que pode realizar as mais variadas atividades no mesmo.

    Este género de campanhas publicitárias maliciosas estão a surgir cada vez mais em plataformas como o Facebook e Instagram. As mesmas encontram-se direcionadas sobretudo a utilizadores que se demonstram como entusiastas de tecnologia, mas podem ser adaptadas para qualquer outro género de esquema.

    A melhor prevenção será ter cuidado nos locais de onde descarrega software, e evitar aceder a conteúdos desconhecidos.

  • Falso alerta de vulnerabilidade afeta administradores de sites WordPress

    Falso alerta de vulnerabilidade afeta administradores de sites WordPress

    Falso alerta de vulnerabilidade afeta administradores de sites WordPress

    Os utilizadores de sites baseados em WordPress encontram-se a ser alvo de uma nova campanha de malware, que pretende levar os mesmos a instalar um plugin malicioso nos seus sites.

    O esquema começa quando os administradores dos sites WordPress recebem um email, alegadamente da equipa de segurança do WordPress, a informar da existência de uma falha de segurança no site. A mensagem indica a existência de uma falha conhecida com o código CVE-2023-45124 – que não existe – mas que é o pretexto usado para levar os utilizadores a instalar um plugin, alegadamente para corrigir o problema.

    De acordo com a empresa de segurança Wordfence, a mensagem de email possui um design que pode enganar os utilizadores mais atentos, com texto convincente. Um dos pontos de falha encontra-se no facto da mensagem ser enviada de um email aleatório, e não diretamente dos sistemas da WordPress.

    imagem da falsa mensagem de vulnerabilidade

    Se os utilizadores carregarem no link para instalar o suporte plugin, são reencaminhados para um falso site que se faz passar com a imagem do diretório de plugins do WordPress. Este apresenta uma página falsa com o plugin que, alegadamente, iria resolver a falha.

    falso site do wordpress

    Para dar legitimidade ao plugin, a página apresenta ainda uma elevada votação no mesmo, juntamente com falsos reviews deixados por contas desconhecidas.

    Se os administradores realmente instalarem o plugin, estarão a dar acesso aos seus sites e servidores, uma vez que o mesmo instala um administrador escondido no site, que pode realizar qualquer tarefa dentro do mesmo. Além disso, o plugin também instala um ficheiro de controlo remoto, que permite aos atacantes acederem ao sistema e recolherem informação sensível do mesmo.

    Como sempre, é recomendado que os utilizadores evitem instalar plugins de fontes desconhecidas, ainda mais quando estes partem de sites que não são os fidedignos das entidades.

  • Malware para Mac distribui-se sobre programas pirateados

    Malware para Mac distribui-se sobre programas pirateados

    Malware para Mac distribui-se sobre programas pirateados

    Em sistemas Mac faz muito tempo que perderam o estatuto de serem “imunes” a malware, e os utilizadores que usam software pirata no mesmo devem estar particularmente atentos a uma nova variante de malware que se encontra a propagar neste sistema.

    De acordo com a empresa de segurança Kaspersky, encontram-se a ser partilhados vários softwares piratas, em diferentes portais de torrents e sites pela internet, que se encontram modificados com uma variante de malware focada para sistemas Mac.

    Os investigadores revelaram terem descoberto mais de 35 apps diferentes, que contam com modificações para integrarem malware nas mesmas. A maioria diz respeito a populares editores de imagens, editores de vídeo, recuperação de dados e outros programas utilitários para o sistema.

    Entre o software modificado encontram-se versões piratas de programas como:

    • 4K Video Donwloader Pro
    • Aissessoft Mac Data Recovery
    • Aiseesoft Mac Video Converter Ultimate
    • AnyMP4 Android Data Recovery for Mac
    • Downie 4
    • FonePaw Data Recovery
    • Sketch
    • Wondershare UniConverter 13
    • SQLPro Studio
    • Artstudio Pro

    Os investigadores indicam que a grande maioria dos programas são distribuídos sobre ficheiros PKG, que são consideravelmente mais perigosos pois permitem a execução de scripts durante o processo de instalação, e consequentemente, com maior probabilidade de malware se instalar no processo.

    Como a maioria dos programas necessitam de permissões administrativas no sistema, isso faz com que os scripts maliciosos também sejam instalados nesse patamar, obtendo acesso privilegiado ao sistema operativo.

    Uma vez instalado no sistema, o malware realiza a ligação a um servidor de controlo dos atacantes, de onde recebe os comandos para as suas atividades maliciosas.

    Como sempre, é importante relembrar que os utilizadores devem ter extremo cuidado nos ficheiros que descarregam de fontes desconhecidas, evitando qualquer conteúdo que é reconhecido por ser fonte de possíveis malwares – como é o caso de programas pirateados.

  • LogoFAIL pode permitir instalação de malware na UEFI

    LogoFAIL pode permitir instalação de malware na UEFI

    LogoFAIL pode permitir instalação de malware na UEFI

    Uma nova falha foi identificada na UEFI de vários sistemas, que pode levar a que utilizadores mal intencionados possam executar malware no arranque dos sistemas – diretamente da BIOS.

    A falha, apelidada de “LogoFAIL”, afeta a forma como o código da UEFI carrega alguns dos seus componentes, e se explorada, pode permitir que conteúdo potencialmente malicioso seja executado durante o arranque.

    Esta falha encontra-se associada com algumas funcionalidades usadas por diversos fabricantes para apresentarem imagens de logo das suas plataformas durante o arranque do sistema.

    A empresa de segurança Binarly, que foi responsável pela descoberta da falha, afirma que este sistema pode ser explorado para executar conteúdos potencialmente malicioso no momento do arranque do sistema, ainda antes do sistema operativo ter possibilidade de carregar.

    Esta não é a primeira vez que a UEFI é explorada para este género de ataques, usando a forma de processamento das imagens de arranque para tal. Em 2009, o investigador Rafal Wojtczuk e Alexander Tereshkin revelaram ter descoberto falhas que permitiam explorar a forma como imagens BMP eram carregadas no arranque dos sistemas, colocando malware persistente nos mesmos.

    A LogoFAIL é algo similar, mas afeta os sistemas mais recentes no mercado, e possui um potencial de afetar praticamente todos os sistemas de arranque que tenham estas funcionalidades ativas.

    Se explorada, as falhas do LogoFAIL permitem que malware seja implementado no sistema, de forma praticamente impossível de identificar e com capacidade de se manter de forma persistente – mesmo se o sistema operativo fosse totalmente reinstalado, visto estar independente do mesmo para execução inicial.

    Os investigadores acreditam que esta falha pode afetar uma larga quantidade de fabricantes e motherboards atualmente no mercado – praticamente todas as que tenham a capacidade de apresentar logos no ecrã de arranque inicial.

    No entanto, os investigadores ainda se encontram a analisar esta falha e a forma como pode ser explorada, de forma a identificar se existe o potencial de risco elevado para os sistemas.

  • Malware para Android usa virtualização para ocultar atividades maliciosas

    Malware para Android usa virtualização para ocultar atividades maliciosas

    Malware para Android usa virtualização para ocultar atividades maliciosas

    O malware para dispositivos Android tem vindo a evoluir consideravelmente, sendo que foi recentemente descoberta uma nova variante que aplica técnicas inovadoras para ocultar as suas atividades.

    Apelidado de FjordPhantom, este malware para Android é capaz de criar um sistema virtual dentro dos dispositivos, que usa para correr o código malicioso nos mesmos – evitando os principais meios de identificação deste género de atividades.

    A descoberta do malware foi feita pela empresa de segurança Promon, e atualmente o mesmo é usado para enviar mensagens e emails maliciosos dos dispositivos das vítimas, bem como para recolher dados dos utilizadores e das suas plataformas bancárias em diferentes países.

    As vítimas são levadas a descarregarem o que acreditam ser uma app da entidade bancária para os seus dispositivos, que uma vez executadas e instaladas no dispositivo, começam a realizar as atividades maliciosas.

    Para estas atividades, o FjordPhantom oculta as mesmas usando virtualização, que depois é usado para atacar as vítimas e roubar os dados de outras apps legitimas.

    exemplo do funcionamento do malware FjordPhantom

    O FjordPhantom usa projetos open source para criar o seu próprio ambiente virtual dentro dos dispositivos, que depois é usado para executar o código malicioso livremente. Como se encontra num ambiente virtualizado, o código não é identificado pela maioria dos softwares de segurança existentes para os dispositivos.

    O ataque é bastante complexo, mas ao mesmo tempo bastante eficaz, com o potencial de ser usado para o roubo de largas quantidades de dados. Atualmente o malware parece encontrar-se a ser focado apenas para alguns países asiáticos, mas nada impede o mesmo de ser adaptado para diferentes regiões.

    Como sempre, é recomendado que os utilizadores tenham extremo cuidado no download de aplicações de fontes desconhecida ou inseguras.

  • O potencial malicioso das ferramentas de deepfake de voz com IA

    O potencial malicioso das ferramentas de deepfake de voz com IA

    O potencial malicioso das ferramentas de deepfake de voz com IA

    Os Beatles voltaram a encantar milhões de fãs em todo o mundo ao lançarem uma nova canção, tudo possível graças à inteligência artificial (IA), combinando partes de uma gravação antiga e melhorando a sua qualidade de áudio. Embora esta tecnologia tenha, neste caso específico, permitido a criação de uma obra-prima da banda, há também um lado mais sombrio na utilização da IA para criar vozes e imagens falsas.

    Felizmente, estas falsificações profundas – e as ferramentas utilizadas para as criar – não estão, por enquanto, bem desenvolvidas ou generalizadas, mas o seu potencial de utilização em esquemas de fraude é extremamente elevado e a tecnologia não está parada.

    De que são capazes os deepfakes de voz?

    A Open AI demonstrou recentemente um modelo de API de áudio que pode gerar discurso humano e texto de entrada de voz. Até à data, este software da Open AI é o que mais se aproxima do discurso humano real.

    No futuro, estes modelos podem também tornar-se uma nova ferramenta nas mãos dos atacantes. A API de áudio pode reproduzir o texto especificado por voz, enquanto os utilizadores podem escolher com qual das opções de voz sugeridas o texto será pronunciado.

    O modelo Open AI, na sua forma atual, não pode ser utilizado para criar vozes falsas, mas é indicativo do rápido desenvolvimento das tecnologias de geração de voz.

    Atualmente, praticamente não existem dispositivos capazes de produzir uma voz falsa de alta qualidade, indistinguível da fala humana real. No entanto, nos últimos meses, estão a ser lançadas mais ferramentas para gerar uma voz humana. Anteriormente, os utilizadores necessitavam de conhecimentos básicos de programação, mas agora é cada vez mais fácil trabalhar com elas. Num futuro próximo, podemos esperar ver modelos que combinam simplicidade de utilização e qualidade de resultados.

    A fraude com recurso à inteligência artificial é pouco comum, mas já são conhecidos exemplos de casos bem-sucedidos. Em meados de outubro de 2023, o capitalista de risco americano Tim Draper avisou os seus seguidores no Twitter que os burlões estão a utilizar a sua voz em esquemas de fraude. Tim partilhou que os pedidos de dinheiro feitos pela sua voz são o resultado da inteligência artificial, que está obviamente a ficar mais inteligente.

    Como se proteger?

    Até à data, a sociedade pode não considerar os deepfakes de voz como uma possível ameaça cibernética. Há muito poucos casos em que são utilizadas com intenções maliciosas, pelo que as tecnologias de proteção demoram a aparecer.

    Para já, a melhor forma de se proteger é ouvir atentamente o que o seu interlocutor lhe diz ao telefone. Se a gravação for de má qualidade, tiver ruídos e a voz soar robótica, isso é suficiente para não confiar na informação que está a ouvir.

    Outra boa forma de testar a “humanidade” do seu interlocutor é fazer-lhe perguntas fora do comum. Por exemplo, se o autor da chamada for um modelo de voz, uma pergunta sobre a sua cor favorita deixá-lo-á perplexo, pois não é o que uma vítima de fraude costuma perguntar. Mesmo que o atacante acabe por reproduzir a resposta nesta altura, o atraso na resposta deixará claro que está a ser enganado.

    Uma opção mais segura é também instalar uma solução de segurança fiável e abrangente. Embora não consigam detetar a 100% as vozes deepfake, podem ajudar os utilizadores a evitar sites suspeitos, pagamentos e descarregamentos de malware, protegendo os browsers e verificando todos os ficheiros no computador.

    “O nosso conselho neste momento é não exagerar a ameaça ou tentar reconhecer deepfakes de voz onde eles não existem. Para já, é pouco provável que a tecnologia disponível seja suficientemente potente para criar uma voz que um ser humano não seja capaz de reconhecer como artificial. No entanto, é necessário estar ciente das possíveis ameaças e estar preparado para que a fraude avançada de deepfake se torne uma nova realidade num futuro próximo”, defende Dmitry Anikin, cientista de dados sénior da Kaspersky. Mais informações sobre deepfakes de voz estão disponíveis neste link.

  • Novo malware foca-se em roubar dados de sistemas Mac

    Novo malware foca-se em roubar dados de sistemas Mac

    Novo malware foca-se em roubar dados de sistemas Mac

    Os utilizadores de sistemas Mac devem ficar atentos a um novo malware, que recentemente começou a ganhar bastante destaque pela internet. Conhecido como “Atomic Stealer”, este novo malware mascara-se de uma atualização do navegador, mas na realidade pretende é roubar dados potencialmente sensíveis do mesmo.

    O Atomic Stealer não é um malware novo, e na realidade, tinha sido descoberto em Abril de 2023. Este foca-se em roubar dados guardados no sistema, como as senhas no iCloud, ficheiros e outra informação privada que possa ser relevante para os atacantes.

    No entanto, nos últimos meses as campanhas do malware intensificaram-se, estando agora bastante mais alargadas para diferentes utilizadores de sistemas da Apple.

    De acordo com a empresa de segurança Malwarebytes, o Atomic Stealer tem vindo a propagar-se em força com campanhas focadas para dispositivos da Apple, onde os utilizadores são aconselhados a instalarem supostas atualizações para o navegador que se encontram a usar.

    Caso os utilizadores realizem o download dos ficheiros indicados para tal, estarão a instalar diretamente o Atomic Stealer nos seus sistemas.

    O malware propaga-se em notificações de sites pela Internet, ou via redireccionamentos que surgem, normalmente de páginas e sites infetados. Dependendo do navegador que os utilizadores se encontrem a usar, a página para a suposta atualização irá adaptar-se para conter o nome e ícone do mesmo – seja o Safari, Chrome ou outro.

    imagem de exemplo da falsa atualização

    Apesar de malware em sistemas Mac não ser algo novo, a realidade é que a campanha do Atomic Stealer demonstra que o sistema da Apple encontra-se a ser cada vez mais relevante para os atacantes, com foco em roubarem dados dos utilizadores no mesmo – onde muitos ainda possuem a ideia que o sistema é consideravelmente mais seguros que alternativas como o Windows, que embora possa ser verdade, não o torna completamente impenetrável para malware.

  • Microsoft alerta para instaladores maliciosos da CyberLink

    Microsoft alerta para instaladores maliciosos da CyberLink

    Microsoft alerta para instaladores maliciosos da CyberLink

    A Microsoft parece ter confirmado recentemente que um grupo de hackers terá atacado a empresa CyberLink, responsável por vário software de edição de imagens e vídeo. A empresa afirma que os atacantes terão injetado malware para um dos instaladores da empresa, e consequentemente, que podem ter afetado clientes da mesma.

    De acordo com a equipa da Microsoft Threat Intelligence, as atividades dos atacantes terãoc omeçado a 20 de Outubro de 2023, quando começaram também a surgir versões modificadas dos instaladores de software da CyberLink.

    Os investigadores apontam que a versão maliciosa do instalador da entidade já se encontra em mais de 100 dispositivos, de vários países. Os investigadores acreditam que o ataque terá sido realizado por um grupo com ligações à Coreia do Norte, para ciber espionagem, conhecido como “Diamond Sleet” ou “Lazarus”.

    Os investigadores afirmam que os atacantes terão assinado o malware com o certificado da CyberLink Corp, distribuindo o mesmo como instaladores de software legitimo da empresa. No entanto, em segundo plano, o malware era instalado nos sistemas das vítimas, com o objetivo de recolher dados sensíveis das mesmas.

    O certificado em questão foi adicionado no sistema de bloqueio de certificados da Microsoft, para garantir uma camada adicional de segurança para utilizadores do Windows. Tendo em conta que se encontrava certificado pela CyberLink Corp, o instalador poderia passar despercebido pela maioria do software de segurança.

    Uma vez instalado no sistema, o malware procede com a descarga de outros conteúdos maliciosos para o mesmo, com o objetivo de recolher informações das vítimas e dos seus sistemas.

  • CEO da Google recomenda utilizadores do Android a usarem apenas a Play Store

    CEO da Google recomenda utilizadores do Android a usarem apenas a Play Store

    CEO da Google recomenda utilizadores do Android a usarem apenas a Play Store

    Ao contrário do que acontece no iOS, os utilizadores do Android podem rapidamente instalar aplicações fora da Play Store, o que abre um conjunto de novas possibilidades, mas também de possíveis riscos de segurança.

    A Play Store adota várias medidas para garantir a segurança dos utilizadores e das apps fornecidas aos mesmos. Apesar de não ser imune a malware, esta é ainda uma das plataformas mais seguras para a instalação de apps de forma oficial.

    No entanto, nada impede que os utilizadores realizem o que é conhecido como sideload, e instalem as suas apps de fontes externas.

    No entanto, mesmo que o Android não limite esta medida, isso não quer dizer que a Google considere a mesma como recomendada. O CEO da Google, Sundar Pichai, veio recentemente deixar alguns comentários sobre o sideload.

    Durante o seu depoimento ao tribunal, no processo entre a Google e a Epic Games, o CEO da Google terá afirmado que concorda com as afirmações da Apple, em como o sideload pode abrir caminho para riscos de segurança dos sistemas e dos utilizadores em geral.

    A Apple sempre referiu ao sideload como uma prática que pode colocar em risco a segurança dos utilizadores em geral, e do próprio sistema operativo.

    Pichai afirma que a Google, apesar de não impedir que os utilizadores o realizem, não aconselha os utilizadores do Android a instalarem apps de fontes externas à Play Store, o que pode abrir portas para problemas graves de segurança.

    De notar que a Google tem vindo a investir consideravelmente nas melhorias de segurança para a Play Store, tanto em tornar a plataforma mais segura como acessível para os utilizadores.

    Obviamente, a Google possui também pretexto para incentivar os utilizadores a usarem a Play Store, tendo em conta que é a sua plataforma, e de onde a empresa também gera receitas com base nos pagamentos feitos por esta via. Portanto, algumas fontes acreditam que as declarações do CEO também podem ser vistas com foco em aumentar a popularidade da Play Store.

  • Servidores MySQL estão a ser alvo de nova onda de ataques

    Servidores MySQL estão a ser alvo de nova onda de ataques

    Servidores MySQL estão a ser alvo de nova onda de ataques

    Servidores MySQL expostos para a Internet estão a ser alvo de uma nova onda de ataques, desta vez numa campanha conhecida como Ddostf. Esta foca-se em tentar aceder a servidores MySQL expostos e vulneráveis, que depois utiliza os mesmos como parte de redes botnet para ataques DDoS.

    De acordo com a empresa de segurança AhnLab Security Emergency Response Center, os atacantes encontram-se a realizar pesquisas regulares pela internet por servidores MySQL que estejam expostos publicamente. Quando os encontram, tentam realizar ataques de brute force, com o objetivo de aceder à conta de administrador dos servidores – tendo em conta que alguns sistemas podem ter práticas inseguras de senhas, isto pode permitir rápidos ataques.

    Em sistemas Windows, que tenham MySQL instalado, os atacantes encontram-se a usar uma técnica conhecida como UDF, para executarem comandos nos sistemas, e dessa forma, poderem instalar o malware necessário.

    Quando os atacantes conseguem obter acesso aos servidores, começam por descarregar para o sistema o malware da rede botnet, que irá ser responsável por realizar as comunicações e ataques de um servidor central, em controlo dos atacantes.

    Quando o sistema se encontra em controlo dos mesmos, os atacantes podem enviar comandos do servidor de controlo para os sistemas afetados na rede botnet, que depois são usados para realizar os mais variados ataques – a maioria ataques DDoS que tenham sido contratados.

    Os investigadores apontam ainda que o malware é capaz de atualizar-se automaticamente para usar novos servidores de controlo remoto, pelo que, na eventualidade de um ser desativado, o mesmo pode recorrer a “backups” para continuar a propagar as atividades maliciosas.

    Como sempre, a melhor prática de segurança será evitar ter os sistemas MySQL expostos para a internet, ou aplicar medidas de proteção para garantir permissões de acesso elevadas. Ao mesmo tempo, deve-se sempre usar senhas seguras para os sistemas de administração e manter o software atualizado para as versões mais recentes.