TugaTech

Categoria: malware

  • Rússia acusa Apple e NSA de espiarem militares e cidadãos russos pelo iPhone

    Rússia acusa Apple e NSA de espiarem militares e cidadãos russos pelo iPhone

    Rússia acusa Apple e NSA de espiarem militares e cidadãos russos pelo iPhone

    As autoridades Russas encontram-se a deixar novas acusações contra os EUA, desta vez sobre a possibilidade de as autoridades norte-americanas terem explorado falhas no iPhone para espiar oficiais e civis russos.

    A FSB alega que a NSA usou um backdoor existente no iPhone para infetar milhares de dispositivos na Rússia, com malware, focando-se em obter informações sensíveis de utilizadores civis e militares no país.

    As autoridades alegam ainda que a Apple terá fornecido as ferramentas necessárias para esta tarefa, como parte de um movimento contra os cidadãos russos e as forças militares do pais. Esta falha nos dispositivos da Apple terá sido usada, alegadamente para espiar informações importantes das tropas russas, e também de outras forças militares, nomeadamente de Israel, Síria e China.

    A entidade afirma ainda que o governo norte-americano tem usado sistemas tecnológicos presentes no dia a dia dos utilizadores, faz anos, para monitorização e espiar as atividades dos mesmos, com foco nas atividades militares dos diferentes países, e sem o conhecimento das partes envolvidas.

    É importante ter em conta que esta não é a primeira vez que as autoridades russas deixam acusações do género contra os EUA. Na realidade, as forças militares russas afirmam que Vladimir Putin, presidente da Rússia, não usa um smartphone nas atividades do dia a dia exatamente por esta situação – mas que o mesmo acede esporadicamente à Internet.

    Até ao momento, tanto a Apple como a NSA não deixaram qualquer informação relativamente a estas acusações.

  • Domínios ZIP podem ser usados para falsos sites do WinRAR e WinZIP

    Domínios ZIP podem ser usados para falsos sites do WinRAR e WinZIP

    Domínios ZIP podem ser usados para falsos sites do WinRAR e WinZIP

    Recentemente a Google começou a permitir aos utilizadores registarem os seus domínios .ZIP, o que para muitos, foi também considerado como um ponto de viragem para possíveis ataques.

    Como se sabe, o ZIP é normalmente associado com ficheiros comprimidos, e não como conteúdos pertencentes a um domínio. A maioria dos utilizadores devem conhecer o termo dos conteúdos de ficheiros encriptados, e abrir o registo de domínios usando esta extensão rapidamente levantou problemas sobre a possibilidade da mesma ser usada para ataques de phishing.

    E como seria de esperar, estão a surgir formas bastante engenhosas de enganar os utilizadores. A mais recente parece focar-se em tirar proveito da popularidade do ZIP, para levar os utilizadores para falsos sites do WinZip ou WinRAR, que apresentam supostas interfaces das aplicações para descarregar os conteúdos, quando na verdade estão a levar os utilizadores para malware.

    O utilizador mr.dox revelou um exemplo de como estes domínios podem ser usados para ataques, explorando o domínio “setup.zip”. Numa demonstração criada para o portal BleepingComputer, o investigador revelou como é possível criar uma falsa aplicação no navegador, que leva os utilizadores a crer estarem com o WinRAR ou WinZIP abertos, quando na realidade encontram-se sobre o site malicioso.

    Neste exemplo, o investigador começou por demonstrar o potencial do ataque através do Twitter, que nas mensagens diretas, automaticamente converte os links .ZIP para links diretos, onde o utilizador pode carregar para aceder ao conteúdo do site.

    exemplo de link zip no twitter

    Os utilizadores podem pensar estar a aceder a uma página web contendo um arquivo do WinRAR, quando na verdade podem encontrar-se a descarregar um conteúdo totalmente diferente, com potencial de ser malicioso. O site pode ainda ser configurado para se apresentar como um pop-up no navegador, criando ainda mais a ilusão de se tratar de uma janela legitima do WinRAR ou WinZIP.

    exemplo de falso site do Winrar em app

    Para dar ainda mais legitimidade ao conteúdo, o investigador criou ainda um falso sistema de verificação por vírus, que apenas possui como objetivo dar mais credibilidade para os conteúdos.

    O investigador criou até mesmo uma variante que imita o explorador de ficheiros do Windows, fazendo os utilizadores pensarem estar a abrir um ficheiro no seu sistema, quando na verdade podem estar a descarregar malware.

    exemplo de falso site zip com explorador do ficheiro do windows

    Apesar de, em ambos os casos, o foco ser levar os utilizadores a descarregar conteúdo malicioso para os sistemas, na verdade este pode ser adaptado para qualquer outro género de ataque. Por exemplo, o link de download dos ficheiros pode ser substituído por um redirecionamento para falsos sites de login em diferentes plataformas, com o potencial de roubar dados sensíveis.

    Este é apenas um exemplo de como este género de domínios pode ser usado para esquemas e burlas, levando os utilizadores com menos conhecimentos a descarregar conteúdos malicioso. Apesar de o investigador ter criado o exemplo apenas para demonstrar uma possível atividade maliciosa que pode ser feita nestes domínios, a verdade é que a ameaça é real, e pode ser explorada por outros para atividades de malware.

  • Malware esconde-se em centenas de aplicações na Google Play Store

    Malware esconde-se em centenas de aplicações na Google Play Store

    Malware esconde-se em centenas de aplicações na Google Play Store

    Um novo malware foi recentemente descoberto na Google Play Store, podendo ter infetado dezenas de aplicações, descarregadas mais de 400 milhões de vezes.

    De acordo com os investigadores da empresa de segurança Dr.Web, o malware encontra-se como um módulo de SDK, instalado nas apps diretamente, e conhecido como “SpinOk”. Os investigadores alertam que o malware pode roubar dados dos dispositivos das vítimas, enviando os mesmos para sistemas remotos em controlo dos atacantes.

    O malware tenta evitar a deteção ao mascarar-se de atividades legitimas dentro das aplicações onde se encontra, como “minijogos” onde os utilizadores necessitam de aceder, todos os dias, para receberem recompensas.

    Através destes pequenos jogos diários, no entanto, o malware realiza as suas atividades em segundo plano, descarregando para o dispositivo comandos que podem aceder a informações privadas dos utilizadores. Este começa por verificar os dados dos sensores do dispositivo, de forma a confirmar que não se encontra num ambiente de testes – usado muitas vezes por investigadores de segurança para testar os dispositivos.

    No caso de não identificar esta atividade, o malware procede com a capacidade de recolher ficheiros de diferentes pastas no dispositivo, bem como alterar os conteúdos da área de transferência do mesmo e enviar ficheiros para servidores remotos.

    exemplo de conteúdo malicioso do malware

    A recolha de dados que se encontrem na área de transferência do Android também é possível, e pode permitir ao malware recolher dados sensíveis, como senhas e contas de email, ou adulterar os conteúdos do mesmo – com foco para adulterar carteiras de criptomoedas para outras em controlo dos atacantes.

    Os investigadores afirmam que o SDK foi descoberto em mais de 100 aplicações que se encontravam disponíveis na Play Store da Google, e que teriam um total de 420 milhões de downloads. A lista completa de apps pode ser verificada no site da entidade.

    Para já, desconhece-se se os autores das aplicações infetadas teriam conhecimento de que as mesmas possuíam o malware, ou se este foi integrado como parte de um pacote aparentemente legitimo, possivelmente para fins de publicidade.

  • Aquela publicidade da Amazon pode não ser o que espera…

    Aquela publicidade da Amazon pode não ser o que espera…

    Aquela publicidade da Amazon pode não ser o que espera…

    A publicidade é uma das principais fontes de receitas para muitos portais na Internet, mas ao mesmo tempo, deve-se ter cuidado com o que é visto neste género de conteúdos – e sobretudo quando se acede à mesma.

    Os investigadores da empresa de segurança Malwarebytes confirmaram a existência de uma nova campanha de malware, que nos últimos tempos tem vindo a propagar-se em força sobre publicidade maliciosa na internet.

    Segundo os investigadores, os grupos responsáveis por estas campanhas usam plataformas de publicidade legítimas, como o próprio Adsense da Google, para levar os utilizadores a acederem a conteúdos potencialmente maliciosos.

    Os criminosos compram publicidade em plataformas como Google Ads, de forma a garantir que surgem no topo dos resultados de pesquisas ou em sites específicos. Num dos exemplos, os atacantes criaram uma campanha maliciosa focada para utilizadores da Amazon, com termos de pesquisa associados à plataforma online de compras.

    Quando os utilizadores realizavam pesquisas na Google para conteúdos da Amazon, os primeiros resultados eram esta publicidade, que direcionava os mesmos para falsos sites a imitarem a aparência da Amazon, e com o objetivo de roubarem dados sensíveis das potenciais vítimas.

    Exemplo de site malicioso na Google

    Em muitos casos, estes links conseguem mesmo contornar as medidas de proteção da Google para a sua plataforma de publicidade, surgindo como links legítimos para pesquisa nos resultados do motor de pesquisa. Os utilizadores podem estar a pensar aceder a um link da Amazon, quando na verdade estão a entrar num site falso, focado para roubar dados de acesso dos mesmos.

    Em alguns casos, as vítimas podem também aceder a falsos sites que indicam que não podem aceder ao portal que pretendem, porque os seus computadores se encontram infetados com malware. Estes sites apresentam mensagem que direcionam as vítimas para descarregarem conteúdo malicioso ou a contactar números de telefone para resolver o problema – que eventualmente vão levar a esquemas de phishing e roubo de dados bancários.

    Exemplo de site falso com antivírus da microsoft

    O malvertising não é uma técnica nova de ataque, mas parece cada vez mais recorrente pela internet, sendo que a principal forma de proteção passa pelos utilizadores terem extremo cuidado com o que acedem online – e sobretudo quando acedem a locais que pedem informações sensíveis ou atividades “fora do vulgar”.

  • PyPI vai obrigar contas a ativarem autenticação em duas etapas

    PyPI vai obrigar contas a ativarem autenticação em duas etapas

    PyPI vai obrigar contas a ativarem autenticação em duas etapas

    A Python Package Index (PyPI) confirmou que todos os utilizadores na plataforma vão necessitar de ativar a Autenticação em Duas etapas para manterem as suas contas ativas, até ao final do ano.

    A PyPI é um dos maiores repertórios online de pacotes de linguagem de programação Python, contando com mais de 200.000 pacotes criados e armazenados nos seus sistemas.

    A equipa do portal afirma que a obrigatoriedade de ativar a Autenticação em Duas Etapas para todas as contas faz parte de um plano mais alargado da entidade para garantir mais segurança na sua plataforma. A mesma surge ainda como parte de outros planos da entidade para garantir mais segurança dos pacotes existentes, através da verificação constante de credenciais de login roubadas e tokens API.

    Esta medida adicionar de proteção também previne que contas possam ser comprometidas e tenham os pacotes enviados para a plataforma adulterados com conteúdos maliciosos. Apesar de não ser possível de evitar todos estes ataques, a autenticação em duas etapas pode ajudar consideravelmente a evitar tal medida.

    Os criadores dos projetos ainda possuem a responsabilidade de manter os seus pacotes protegidos e atualizados, mas ainda assim, este método adicional de segurança pode ser usado para evitar ataques em larga escala, e os conhecidos ataques de “supply chain”.

    De notar que esta medida surge depois da plataforma ter verificado um aumento considerável no envio de pacotes de malware. O caso foi de tal gravidade que, durante a semana passada, a PyPI teve de encerrar o registo de todas as novas contas de programadores e suspender o envio de novos pacotes até serem aplicadas novas medidas de proteção.

    A nova regra aplica-se a todas as contas da plataforma, sendo que estas possuem até ao final de 2023 para ativarem a mesma. As contas que não tenham ativado a autenticação em duas etapas até ao final do ano deixam de conseguir aceder à plataforma até que ativem as mesmas.

  • Alterações de temperatura e voltagem no CPU podem ser usadas para recolha de dados

    Alterações de temperatura e voltagem no CPU podem ser usadas para recolha de dados

    Alterações de temperatura e voltagem no CPU podem ser usadas para recolha de dados

    Existem diversas formas de atacantes roubarem dados dos sistemas, seja por malware ou até por alguns métodos que não se imaginaria que tal seria possível. O mais recente método descoberto para esta tarefa pode explorar algo que todos os computadores possuem.

    Um grupo de investigadores da Georgia Tech e da Ruhr University Bochum descobriram uma nova forma de ataque e roubo de dados, apelidada de “Hot Pixels”, a qual é capaz de recolher píxeis dos conteúdos apresentados no ecrã dos sistemas, usando para tal apenas o consumo de energia das placas gráficas e a sua temperatura.

    Os investigadores afirmam que os sistemas modernos de processamento de imagens, as GPUs, não estão propriamente preparados para manterem o uso de energia e de temperaturas controlados quando se navega em sites web ou realiza tarefas ligeiras no sistema.

    Com isto, usando um software de monitorização de hardware, que a grande maioria das placas gráficas suporta, é possível aos investigadores analisarem alterações da temperatura e da voltagem das placas, replicando o que se encontra no ecrã com 94% de fiabilidade.

    Segundo os investigadores, em sistemas de arrefecimento passivo, é possível recolher dados usando a energia usada e a frequência de funcionamento. Em arrefecimento ativo é possível via à temperatura e registo de energia.

    Os testes dos investigadores foram realizados sob o Apple M1, Cortex-X1 e Qualcomm Snapdragon 8 Gen 1, sendo que em todos os casos, usando os dados de temperatura e voltagem dos mesmos, foi possível obter detalhes sobre o ecrã usando apenas os dados do processador.

    A mesma técnica pode também ser usada em sistemas com gráficas dedicadas, como é o caso da AMD Radeon RX 6600, Nvidia GeForce RTX 3060 e Intel Iris Xe. Apesar de usarem métodos diferentes de arrefecimento, em ambos os casos os investigadores foram capazes de reconstruir conteúdos do ecrã, transmitidos pelos processadores gráficos, usando apenas as temperaturas, frequência de funcionamento e voltagem.

    Os resultados demonstram uma eficiência de ataque entre 60 e 94%. Em média, é possível descobrir cada pixel entre 8 e 22 segundos. No final, por entre todos os dispositivos testados, a Radeon RX 6600 foi a que demorou menos tempo para se descobrir os píxeis usando o método, enquanto os chips da Apple parecem ser os mais “protegidos” – embora não imunes ao ataque.

    Os testes foram ainda feitos sobre o Chrome e Safari, nas suas versões mais recentes, sendo que em ambos os casos se verificou ser possível recolher informações sensíveis de navegação usando este género de ataque. Curiosamente, o Safari encontra-se melhor protegido contra este género de ataques, onde não é possível recolher diretamente a imagem do ecrã, mas é possível recolher os dados de navegação – nomeadamente o histórico – analisando apenas os links que foram pressionados no ecrã e as suas alterações de cores.

    A falha explorada por este ataque foi divulgada para a Apple, Nvidia, AMD, Qualcomm, Intel, e Google em Março deste ano, sendo que todas as empresas confirmaram a mesma e encontram-se a desenvolver métodos de mitigar o problema.

    No entanto, este género de ataque será bastante específico, e exige que as vítimas sejam diretamente escolhidas para a exploração do mesmo. Além disso, será um método de ataque consideravelmente mais difícil de ser executado do que outros métodos existentes – apesar de ser possível recolher dados sensíveis de tal, existem métodos alternativas que podem ter taxas mais elevadas de sucesso e serem consideravelmente mais rápidos do que este.

  • Campanha de malware explora falha do Office com mais de seis anos

    Campanha de malware explora falha do Office com mais de seis anos

    Campanha de malware explora falha do Office com mais de seis anos

    Uma das primeiras regras de segurança é manter o software atualizado para as versões mais recentes, que normalmente contam com correções importantes que vão sendo descobertas de falhas e bugs. Ao mesmo tempo, manter as aplicações atualizadas previne que malware também possa chegar aos sistemas através da exploração de vulnerabilidades.

    No entanto, por muito que os programadores destas aplicações lancem atualizações e correções, ainda cabe aos utilizadores realmente instalarem as mesmas, o que nem sempre acontece.

    Com isto, foi recentemente identificada uma nova campanha de malware, que se encontra a explorar uma falha de segurança no Microsoft Office, que tinha sido descoberta em 2017, mas ainda se encontra ativa em muitos sistemas desatualizados.

    Tudo o que as vítimas necessitam de realizar para terem os seus sistemas infetados é descarregar e abrir um documento do Excel. Este distribui-se sobretudo via email, em campanhas de spam, e onde as vítimas são enganadas para levar à abertura do ficheiro.

    No entanto, caso o realizem, e tenham uma instalação do Office vulnerável, estão diretamente a dar permissão para malware se instalar no sistema.

    Imagem dos ficheiros infetados

    A mesma falha pode também se explorada em ficheiros do Word, com o mesmo método de ataque. Em ambos os casos, os utilizadores acabam por infetar os sistemas apenas porque abriram o ficheiro.

    Para este fim, a exploração começa com o malware a ser executado em software que se encontra desatualizado. Os documentos exploram uma falha que foi originalmente identificada em 2017, mas infelizmente, ainda existem muitos utilizadores que não atualizaram as suas instalações do Office desde então.

    A principal linha de defesa para os utilizadores será manterem o software dos seus sistemas constantemente atualizado, o que evita a prevenir ataques, ao mesmo tempo que também permite o acesso a novas funcionalidades que foram sendo lançadas.

  • Segurança da MIUI considera várias apps legitimas como maliciosas

    Segurança da MIUI considera várias apps legitimas como maliciosas

    Segurança da MIUI considera várias apps legitimas como maliciosas

    A MIUI conta com uma funcionalidade integrada de segurança, que permite aos utilizadores analisarem as apps instaladas no sistema. Normalmente, esta funcionalidade deveria identificar apenas apps que sejam reconhecidas como maliciosas, mas parece que um bug está a causar problemas para alguns utilizadores.

    Vários utilizadores encontram-se a reportar que a aplicação de Segurança da MIUI encontra-se a marcar várias apps legitimas como malware, recomendando a sua desinstalação do sistema. Entre as apps reportadas encontram-se o Facebook Lite e Snapchat – que apesar de serem totalmente legitimas e descarregadas de fontes oficiais.

    Existem até mesmo algumas aplicações da própria Xiaomi que estão a ser consideradas como malware, como é o caso da MIUI Downloader. Estas são igualmente apps instaladas de fontes oficiais.

    Exemplo de app considerada como maliciosa pela Segurança da MIUI

    A indicação da app de Segurança da MIUI será que outros utilizadores reportam a aplicação como sendo maliciosa, sendo dada a opção para remover a app do sistema. No entanto, o problema parece relacionado com um bug no sistema de identificação de malware da app, ou possivelmente da base de dados usada pela mesma.

    Até ao momento a empresa não deixou comentários relativamente a este problema, mas é possível que o mesmo venha a resolver-se em futuras atualizações da app de Segurança da MIUI ou da sua base de dados.

  • 30 bancos em Portugal visados por campanha maliciosa de hackers no Brasil

    30 bancos em Portugal visados por campanha maliciosa de hackers no Brasil

    30 bancos em Portugal visados por campanha maliciosa de hackers no Brasil

    Um grupo de hackers brasileiros encontra-se por detrás de uma recente campanha maliciosa, focada em mais de 30 instituições governamentais e bancárias em Portugal. O objetivo das campanhas passa por enganar as vítimas, levando a roubos de dados bancários e fundos.

    A campanha foi revelada pela empresa de segurança Sentinel Labs, e de acordo com a mesma, foca-se a instituições como a ActivoBank, Caixa Geral de Depósitos, CaixaBank, Citibanamex, Santander, Millennium BCP, ING, Banco BPI e Novo banco, entre outros.

    O grupo utilizaria diferentes métodos para o ataque e para chegar a potenciais vítimas, sendo que os investigadores revelaram as operações através de um servidor, usado pelo grupo, e que estaria incorretamente configurado. No mesmo encontrava-se diversa informação que era usada pelo grupo para levar a cabo a campanha.

    O grupo tentava levar as vítimas para sites falsos através de campanhas de email e SMS, em nome de entidades como a EDP e a Autoridade Tributária. Caso os utilizadores acedessem aos sites indicados nas mensagens, iriam ser apresentadas páginas idênticas às das entidades originais.

    exemplos de sites falsos

    O malware que era depois descarregado nestes sites, conhecido como PeepingTitle, possui a capacidade de realizar diversas atividades nos sistemas. Entre estas encontra-se a recolha de dados sensíveis, capturas de ecrã e registo das teclas pressionadas, com o objetivo de levar ao roubo de dados de login em diferentes plataformas.

    No final, o objetivo seria obter dados de acesso a diferentes plataformas bancárias, usadas pelas vitimas, através do malware que teriam sido usado para infetar o sistema.

    O grupo usava o serviço DigitalOcean Spaces para armazenar as páginas e conteúdos malicioso, que eram depois enviados para as potenciais vítimas. O malware era também descarregado a partir deste local.

    Como sempre, os utilizadores devem sempre ficar atentos a qualquer atividade suspeita, sobretudo quando esta surge sobre a forma de mensagens SMS ou de email, alegando que existem pagamentos em falta, suspensões ou que é necessário aceder a um determinado site para a tarefa.

    Em caso de dúvida, o recomendado será contactar diretamente as instituições visadas, de forma a obter mais informações.

  • Contas comprometidas na Internet registam quedas no início de 2023

    Contas comprometidas na Internet registam quedas no início de 2023

    Contas comprometidas na Internet registam quedas no início de 2023

    O roubo de contas na internet continua em valores elevados, mas tendo em conta a tendência, parece que tem vindo a baixar nos últimos meses. Pelo menos esta é a conclusão do mais recente relatório da empresa Surfshark, que indica terem sido verificadas menos contas roubadas durante o primeiro trimestre deste ano.

    De acordo com o relatório da empresa, um total de 41.6 milhões de contas online foram roubadas durante os primeiros três meses do ano, o que parece (e é) muito, mas na realidade encontra-se em queda face aos períodos anteriores.

    Este valor representa menos 49% de contas comprometidas do que o verificado durante o último trimestre de 2022, mas ainda assim, os investigadores apontam que não será motivo de celebração, já que ainda é um valor consideravelmente elevado.

    Ao mesmo tempo, apesar de o número em geral ter caído, existem alguns locais no mundo onde o número de contas roubadas aumentou. E caso a tendência se mantenha, os valores podem vir a sofrer novos aumentos já durante os próximos meses.

    A maioria das contas comprometidas encontram-se na Rússia, seguindo-se os EUA, Taiwan, França e Espanha. Foi em Taiwan que se verificou um dos maiores aumentos no número de contas comprometidas, em torno de 21% face ao trimestre anterior.

    O mercado europeu também registou um aumento considerável no número de contas comprometidas, com valores praticamente a duplicarem.

    Em termos gerais, é possível dizer que cerca de uma conta foi comprometida, por segundo, durante o primeiro trimestre de 2023.

    As contas roubadas podem ser usadas para os mais variados géneros de ataques, dependendo do formato das mesmas. Como exemplo, contas de email podem ser usadas para roubos de identidade ou envio de spam, e contas de redes sociais para o envio de conteúdo malicioso para amigos e familiares.

    Como sempre, é importante garantir que são aplicadas medidas de segurança preventivas para evitar o roubo de contas, com a adoção de práticas de segurança e conhecimentos para identificar fraudes. Uma grande parte das contas roubadas são de esquemas de phishing, onde os utilizadores acabam por ser enganados a fornecerem os seus dados em sites falsos.

    A ativação da autenticação em duas etapas é também um ponto importante, bem como o uso de software de segurança atualizado, para evitar possíveis infeções por malware.

  • App com 50.000 downloads e malware descoberta na Google Play Store

    App com 50.000 downloads e malware descoberta na Google Play Store

    App com 50.000 downloads e malware descoberta na Google Play Store

    Os investigadores de segurança da empresa ESET revelaram a descoberta de uma aplicação na Google Play Store, descarregada mais de 50.000 vezes, e que continha um malware de controlo remoto dos dispositivos.

    A aplicação era distribuída sob o nome “iRecorder – Screen Recorder”, tendo sido enviada para a Play Store em meados de Setembro de 2021. Não se conhece se a versão original teria o malware integrado, mas a app recebeu uma atualização em Agosto de 2022, tendo sido a última efetuada.

    Esta app prometia aos utilizadores um meio de realizarem a gravação de conteúdos do ecrã nos seus dispositivos, e pedia permissões de gravação de áudio e de acesso aos ficheiros no sistema – o que vai de encontro com a promessa. No entanto, explorando essas permissões, a app também instalava um serviço de controlo remoto, que basicamente permitia aos atacantes terem total controlo dos equipamentos remotamente.

    imagem da aplicação maliciosos com malware na play store da Google

    Antes de ser removida pela Google, a app contava com mais de 50.000 instalações desde a altura em que foi enviada para a plataforma. No entanto, é importante sublinhar que a app pode encontrar-se em fontes alternativas, como é o caso de sites pela internet e lojas de aplicações de terceiros, portanto ainda possui o potencial de infetar dispositivos.

    Em análise do malware, os investigadores descobriram que o mesmo encontrava-se configurado para apenas realizar a recolha de determinados ficheiros e a gravação do ambiente pelo microfone, o que potencialmente leva para o facto de se tratar de um malware de espionagem. No entanto, poderia ser usado para outras tarefas caso os criminosos assim o pretendessem.

  • 6 milhões de cartões bancários roubados descobertos na dark web

    6 milhões de cartões bancários roubados descobertos na dark web

    6 milhões de cartões bancários roubados descobertos na dark web

    Os roubos de cartões bancários são a prática mais regular de ocorrer em esquemas de phishing e burlas, onde os criminosos passam a obter acesso aos dados necessários para usarem os cartões em pagamentos diversos.

    Recentemente, os investigadores da empresa NordVPN confirmaram ter identificado mais de 6 milhões de cartões bancário roubados, que se encontravam disponíveis na dark web. Dois em cada três cartões vinham acompanhados de pelo menos alguma informação privada, tais como morada, número de telemóvel, endereço de e-mail, ou NISS.

    Um total de 8,288 cartões analisados pertencem a portugueses, fazendo com que Portugal seja o nono país europeu mais afetado. Os investigadores estimam que o preço médio de cartões portugueses na dark web seja de €10.1 (média global – €6.37). Os cartões de débito portugueses são propensos a fraudes: Segundo o índice de risco de fraude de cartão da NordVPN, o risco de fraude dos cartões é de 0.51 numa escala de 0 a 1.

    “Os cartões que os investigadores encontraram são apenas a ponta do icebergue. A informação vendida com estes cartões faz com que tudo seja mais perigoso,” diz Adrianus Warmenhoven, um especialista em cibersegurança da NordVPN.

    “No passado, as fraudes de cartão de débito estavam associadas a ataques de força bruta—quando um criminoso tenta adivinhar o número e CVV de um cartão de débito para o usar. Contudo, a maioria dos cartões que encontrámos estavam acompanhados com o e-mail e morada das vítimas, informação impossível de obter por meio de força bruta. Podemos assim concluir que foram roubados por via de métodos mais sofisticados, como phishing ou malware.”

    Se vendessem toda a base de dados analisada na pesquisa, os cibercriminosos poderiam fazer um total €16.8 milhões. Caso adquiridos, estes cartões renderia aos criminosos muito mais do que o valor investido. 6,414 dos cartões de débito à venda incluíam as moradas dos seus donos, e quase 6,000 vinham com o número de telemóvel.

    Se uma brecha de informação ou ataque informático expõe detalhes dos cartões dos utilizadores, pode dar origem a usurpo de identidade. Assim que o criminoso obtiver o nome, a morada, e o endereço de e-mail da vítima, pode mesmo abusar de métodos legais (como usar o GDPR para aceder a ainda mais informações pessoais) para desenvolver o esquema de usurpo de identidade ou outras práticas criminosas.

    O Reino Unido foi afetado com o roubo de 164,143 cartões de débito, sendo assim o terceiro país mais afetado do mundo, e o primeiro mais afetado da Europa. França foi o segundo país mais afetado da Europa e o mais afetado da União Europeia, com quase 100 mil cartões de débito roubados.

    Com base nas suas descobertas, os investigadores NordVPN calcularam o risco posado por fraude de cartão e outros ciberataques em 98 países. Malta, Austrália, e a Nova Zelândia surgem no topo, sendo que Portugal é o 46.º

    No outro lado do espetro, a Rússia tem o risco mais baixo, e a China é o terceiro país a contar do fim. Estas descobertas parecem confirmar teses relativas às localizações de operações de cibercrime à larga escala e ao targeting propositado de países anglo-europeus.

    Mais de metade dos 6 milhões de cartões roubados que foram analisados vieram dos Estados Unidos, muito provavelmente pela sua taxa de penetração de cartões, população numerosa, e forte economia. Contudo, os cartões americanos roubados contavam com um preço relativamente baixo (€6.24, menos do que a média global de €6.37) nos mercados da dark web — os cartões mais valiosos (com uma média de €10.50) eram da Dinamarca.

    “Menos criminosos usam força bruta para roubar informação de cartões de débito. Isto significa que as suas técnicas estão a tornar-se mais sofisticadas. No entanto, também significa que pessoas informadas têm menos hipóteses de ser afetadas,” diz Adrianus Warmenhoven.

  • Aquela mensagem do Dropbox pode ser na realidade malware

    Aquela mensagem do Dropbox pode ser na realidade malware

    Aquela mensagem do Dropbox pode ser na realidade malware

    Os criminosos encontram-se sempre à procura de novas formas de enganarem as potenciais vítimas, e um esquema que tem vindo a surgir cada vez mais encontra-se no uso de plataformas cloud legitimas para distribuição do malware.

    A técnica tem vindo a ser cada vez mais usada, e consiste em usar os próprios sistemas de partilhas das plataformas cloud, como o Dropbox. De acordo com os investigadores da empresa de segurança Check Point, o esquema começa quando as vítimas recebem um suposto email contendo documentos considerados importantes.

    Os criminosos usam o sistema de partilha das plataformas cloud para enviar as mensagens, indicando mensagens que podem levar os utilizadores a descarregar os conteúdos maliciosos. Como as mensagens são enviadas diretamente pelas plataformas cloud, a maioria contorna os filtros de spam e acaba por ser recebida na caixa de entrada dos utilizadores.

    Os criminosos usam este sistema para enviar às vítimas mensagens aparentemente relevantes, mas para conteúdos maliciosos que se encontram alojados nas próprias plataformas cloud. Em grande parte, os criminosos aproveitam os períodos de teste desta plataforma, ou usam serviços gratuitos para tal.

    Em alguns casos, dependendo da plataforma, as vítimas podem também ser direcionadas para falsos sites de login, em diferentes plataformas de email ou de cloud, onde são então roubados os dados de acesso caso sejam introduzidos.

    Este género de ataque é bastante eficaz, visto contornar a maioria dos filtros de spam. E pode ter consequências ainda mais graves para empresas, que tendem a usar mais este género de serviços para comunicações com clientes – o envio dos conteúdos pode ser entendido pelas potenciais vitimas como apenas mais uma mensagem de um cliente, quando é na verdade malware.

    Como sempre, é importante para os utilizadores terem atenção à origem das mensagens, verificando atentamente todos os links e para onde os mesmos direcionam.

  • Falsos sites levam a versões de malware do CapCut

    Falsos sites levam a versões de malware do CapCut

    Falsos sites levam a versões de malware do CapCut

    O CapCut é uma popular aplicação usada por criadores de conteúdos para edição de vídeos, sobretudo para plataformas como o TikTok e Reels. A integração com as mesmas torna o uso da app consideravelmente mais simples – ainda mais tendo em conta que a CapCut é detida pela ByteDance, a mesma empresa mãe do TikTok.

    No entanto, apesar de ser uma aplicação bastante popular, a mesma encontra-se bloqueada em alguns países, como a Índia devido às suas ligações com a empresa Bytedance. E em parte, isso leva também os utilizadores a procurarem alternativas ou até formas de descarregar a apps de fontes não oficiais.

    É neste ponto que os criminosos se encontram agora a aproveitar, com novas campanhas descobertas focadas para a aplicação. A empresa de segurança Cyble confirmou ter identificado várias campanhas ativas de malware a ser distribuído sob apps e sites que alegam ser do CapCut.

    Não existem detalhes em como as vítimas são direcionadas para estes sites, mas tudo leva a crer que será via campanhas de phishing ou de publicidade maliciosa distribuída a partir de vários locais.

    exemplo de site de malware

    Em praticamente todos os sites, estes levam os utilizadores a descarregarem aplicações para os seus sistemas ou dispositivos móveis, que uma vez instaladas nos mesmos, procedem com o roubo de dados sensíveis. No caso de desktop, o malware foca-se em roubar dados de login de plataformas sociais, bem como tenta replicar os cookies do navegador, e obter senhas de extensões que possam estar ativas.

    O malware pode ainda instalar software de controlo remoto, como o AnyDesk, que poderá permitir aos atacantes acederem remotamente aos sistemas das vítimas, ou verem o que as mesmas estão a realizar no sistema.

    Como sempre, a primeira linha de defesa parte dos próprios utilizadores, que devem ter atenção aos sites que acedem e evitar descarregar aplicações fora dos seus locais legítimos. Neste caso, as apps encontram-se a ser fornecidas por sites sem relação com a Bytedance.

    O uso de software de segurança nos sistemas será também um bom ponto de partida para evitar infeções.

  • PyPI suspende novos registos de utilizadores após envio de malware em massa

    PyPI suspende novos registos de utilizadores após envio de malware em massa

    PyPI suspende novos registos de utilizadores após envio de malware em massa

    A plataforma PyPI, conhecida por ser uma das maiores plataformas de distribuição alternativa de pacotes Python, suspendeu recentemente o registo de novas contas de utilizadores e de envio de novas atualizações para a plataforma, depois de uma enchente de malware a propagar-se na plataforma.

    Esta medida surge depois de, nos últimos dias, terem sido identificados vários casos de pacotes maliciosos a serem enviados para a plataforma, a maioria de novas contas a registarem-se no serviço.

    Derivado disto, a Python Package Index, mais conhecida como PyPI, suspendeu temporariamente o registo de novas contas de utilizadores, por um período indeterminado. Além disso, os utilizadores existentes também não podem criar novos projetos.

    A plataforma sublinha que se encontra a trabalhar para implementar novas medidas de forma a combater a onda de novas publicações maliciosas e de registo de contas apenas para este fim, sendo que estas medidas devem começar a surgir nos próximos tempos.

    No entanto, até que tal seja realizado, a plataforma encontra-se num estado de “suspensão”, de forma a evitar que conteúdos maliciosos sejam propagados em massa pela mesma.

    mensagem da plataforma sob incidente

    De notar que a plataforma e os seus administradores não deixaram informações sobre as possíveis origens destes conteúdos maliciosos, bem como dos detalhes de possíveis grupos associados com os mesmos.

    É importante notar que esta não é a primeira vez que plataformas como a PyPI são alvo de ataques deste género, onde conteúdos maliciosos são enviados em massa para a plataforma, causando possíveis problemas para os utilizadores que usam as mesmas – a maioria tenta fazer-se passar por outros pacotes mais reconhecidos, na esperança que os utilizadores sejam enganados a usar as variantes maliciosas.

  • Falha grave no KeePass permite acesso à senha principal

    Falha grave no KeePass permite acesso à senha principal

    Falha grave no KeePass permite acesso à senha principal

    O KeePass é um popular gestor de senhas no mercado, que permite aos utilizadores terem os seus dados de login e outra informação sensível salvaguardados num local. No entanto, foi recentemente confirmada uma falha que, quando explorada, permite aos atacantes obterem acesso à chave de desencriptação destes conteúdos.

    A falha foi descoberta pelo investigador de segurança conhecido como “vdohney“, sendo que foi acompanhada de uma prova de conceito, demonstrando como pode ser explorada e que se encontra ativa. A falha permite que os atacantes possam retirar a chave de desencriptação do cofre do KeePass, em formato de texto, da memória dos dispositivos.

    Isto será extremamente importante, uma vez que a grande maioria dos gestores de senhas adotam exatamente o formato de que apenas é necessária uma senha para salvaguardar todas as restantes. A chave mestre do cofre é a única que os utilizadores necessitam de se lembrar para poderem aceder a todos os restantes conteúdos.

    No entanto, caso esta senha seja comprometida, os atacantes passam a ter um ponto de acesso para todas as restantes senhas guardadas e encriptadas no programa.

    O investigador afirma que, explorando esta falha, os atacantes podem obter potencial acesso à senha do cofre, e a todos os dados que se encontram dentro do mesmo. Ao mesmo tempo, a falha será considerada grave por não exigir qualquer código a ser executado no sistema – apenas o dump da imagem da memória será suficiente para obter os dados necessários. Também não importa se o programa esteja bloqueado ou não, ou até se está ativo em segundo plano no sistema – a chave pode permanecer na memória durante um longo período de tempo.

    falha em funcionamento do keepass

    A falha foi identificada em Windows, mas também afeta as versões do KeePass para macOS e Linux, portanto literalmente todas as versões encontram-se potencialmente abertas a exploração desta falha.

    Tendo em conta a forma como a falha é explorada, esta obriga a que os atacantes tenham acesso físico ao sistema, ou que o mesmo se encontre comprometido com malware. Ainda assim, será extremamente grave para potenciar o roubo da senha principal de acesso, independentemente do formato que a senha tenha – mesmo que seja considerada uma password segura.

    Dominik Reichl, criador do KeePass, já confirmou que a falha encontra-se a ser analisada e vai ser corrigida em breve. Estima-se que a atualização 2.54 venha a corrigir o problema, com o lançamento esperado para Julho de 2023 – embora o programador indique que a atualização possa vir a ser lançada mais cedo que o previsto, tendo em conta a gravidade da falha.

    Atualmente já se encontra em testes uma correção para o problema, mas ainda será focada para uma build de desenvolvimento, portanto poderá conter bugs ou outras falhas, e não se recomenda o uso no dia a dia.

  • Hackers infetaram mais de 9 milhões de dispositivos Android com malware

    Hackers infetaram mais de 9 milhões de dispositivos Android com malware

    Hackers infetaram mais de 9 milhões de dispositivos Android com malware

    Um grupo de cibercrime, conhecido como “Lemon Group”, pode ter estado durante anos a instalar malware em diversos dispositivos baseados em Android, onde a instalação dos conteúdos maliciosos seria feita de fábrica. A lista de dispositivos afetados engloba uma vasta linha de produtos, desde smartphones a smartwatches e boxes de TV.

    O malware instalado era conhecido como “Guerilla”, e possui capacidade de roubar dados sensíveis dos utilizadores. De acordo com os investigadores da empresa de segurança Trend Micro, acredita-se que o malware tenha sido instalado em mais de 9 milhões de dispositivos Android ao longo dos últimos anos.

    Entre as capacidades do malware encontra-se a de roubar códigos de autenticação SMS, roubar dados de sessões do WhatsApp e ter controlo remoto do dispositivo e dos dados presentes no mesmo.

    Os investigadores afirmam ter descoberto as atividades do grupo em Fevereiro de 2022, embora as mesmas estivessem ativas desde muito antes. Após a descoberta, o grupo terá alegadamente alterado de nome para “Durian Cloud SMS”, embora tenha mantido toda a sua infraestrutura.

    funcionamento do malware

    Os investigadores não foram capazes de clarificar como o grupo estaria a infetar os dispositivos de origem, mas acredita-se que os equipamentos seriam obtidos pelo grupo, reformatados com ROMs modificadas contendo o malware, e posteriormente revendidos em diversos sites.

    Foram descobertas mais de 50 ROMs modificadas com este malware, que estariam a ser usadas em dispositivos no mercado. No final, estima-se que mais de 9 milhões de dispositivos Android podem encontrar-se comprometidos com este malware.

    O malware foca-se sobretudo em roubar o máximo de dados privados possíveis, e obter acesso a contas de email, de redes sociais e outras informações que possa ter interesse para o grupo. A maioria dos dispositivos infetados encontram-se na Ásia, seguindo-se a América do Norte e do Sul. Muitos dos mesmos ainda se encontram ativos, e potencialmente a serem usados para ataque e roubos de dados.

  • Extensões maliciosas descobertas no VSCode Marketplace

    Extensões maliciosas descobertas no VSCode Marketplace

    Extensões maliciosas descobertas no VSCode Marketplace

    O VSCode Marketplace encontra-se a ser usado para enganar os programadores e levarem os mesmos a descarregar malware para os sues sistemas, num novo esquema que tem vindo a afetar um elevado número de utilizadores.

    De acordo com a empresa de segurança Check Point, o esquema começa quando os criminosos enviam para a VSCode Marketplace extensões maliciosas do Visual Studio, uma ferramenta bastante usada pelos programadores para as mais variadas linguagens de programação.

    O programa permite que os utilizadores possam instalar extensões do VSCode Marketplace, que basicamente aumentam as funcionalidades oferecidas pelo programa. No entanto, de forma recente, várias extensões maliciosas começaram a ser partilhadas pela plataforma, que uma vez instaladas procedem com o roubo de dados sensíveis dos sistemas das vítimas.

    extensão maliciosa no VSCode Marketplace

    As extensões identificadas pelos investigadores de segurança foram removidas no dia 14 de Maio, mas quem as tenha instalado deve manualmente remover do sistema, e possivelmente os dados do mesmo podem ter sido comprometidos.

    Entre as extensões encontra-se a “Theme Darcula dark”, que promete fornecer melhorias nos temas do programa, juntamente com “python-vscode” e “prettiest java”. Numa primeira análise, as extensões parecem realizar o que prometem, mas em segundo plano encontram-se a roubar dados potencialmente sensíveis dos sistemas das vítimas.

    Apesar de as extensões serem uma forma útil dos programadores aumentarem as capacidades do programa, deve-se ter atenção à origem das mesmas, uma vez que estas possuem a capacidade de realizar ações prejudiciais sobre o sistema.

  • Hackers infetam routers da TP-Link para realizar ataques DDoS

    Hackers infetam routers da TP-Link para realizar ataques DDoS

    Hackers infetam routers da TP-Link para realizar ataques DDoS

    Um grupo de hackers, conhecido como “Camaro Dragon” e tendo ligações com o governo da China, encontra-se a ser classificado como responsável de uma onda de ataques contra routers da TP-Link.

    O grupo encontra-se a explorar falhas nestes routers, levando à instalação de malware nos mesmos que são depois usados para ataques contra instituições europeias.

    O malware encontra-se a ser distribuído sobre falsas atualizações de firmware para os routers da TP-Link, que uma vez instaladas, podem permitir o controlo remoto do dispositivo pelos atacantes, e levar a que estes iniciem ataques a partir de redes domésticas.

    De acordo com os investigadores da empresa Check Point, o grupo não se encontra a focar propriamente em redes com dados sensíveis, mas sim em qualquer router que possa estar vulnerável a partir de ligações domésticas. Com isto, o ataque não parece ser direcionado, uma vez que os atacantes se focam em tentar alargar a rede para o máximo de dispositivos possíveis.

    O malware encontra-se a ser apelidado de “Horse Shell”, e terá sido descoberto inicialmente pela empresa Check Point em Janeiro de 2023. Os investigadores não descobriram a causa concreta que leva os dispositivos da TP-Link a serem os escolhidos para a instalação do malware.

    É possível que os atacantes estejam a explorar uma vulnerabilidade ainda desconhecida em alguns modelos, ou podem encontrar-se simplesmente à procura de routers abertos para a internet, e a testar dados de acesso à interface dos mesmos, instalando o firmware modificado quando tal é identificado.

    O firmware modificado possui praticamente o mesmo funcionamento que o firmware original da TP-Link, mas conta com scripts dedicados para permitir realizar ações no router de forma remota, ou o acesso dos atacantes – uma backdoor para o mesmo.

    Os dispositivos infetados estão a ser usados para realizar ataques em larga escala contra várias instituições europeias, aproveitando o poder da rede criada pelo malware para tal.

  • Microsoft analisa ficheiros comprimidos e protegidos com senha por malware

    Microsoft analisa ficheiros comprimidos e protegidos com senha por malware

    Microsoft analisa ficheiros comprimidos e protegidos com senha por malware

    Uma das formas mais simples, mas também eficaz, de proteger conteúdos passa por os colocar num arquivo comprimido com uma senha de acesso. Este género de senhas, mesmo que simples, são bastante complicadas de se contornar não sabendo a mesma.

    Ficheiros ZIP e RAR permitem ambos a criação de conteúdos protegidos por senhas, tarefa que é feita muitas vezes tanto para fins legítimos como também para o efeito contrário – evitando a deteção de malware, como exemplo. Muitos softwares de segurança não analisam os conteúdos protegidos por senha, exatamente porque não conseguem verificar os conteúdos dos ficheiros.

    No entanto, parece que a Microsoft começou recentemente a usar uma técnica para contornar este problema. Para arquivos do OneDrive e SharePoint, a Microsoft parece agora encontrar-se a analisar até mesmo arquivos comprimidos que se encontram protegidos por senha de acesso – embora o funcionamento do mesmo ainda pareça ser limitado.

    O caso foi inicialmente revelado pelo investigador de segurança Andrew Brandt, que no início da semana terá começado a receber alertas de conteúdos maliciosos em alguns dos seus ficheiros partilhados via o SharePoint. O interessante encontra-se que estes ficheiros seriam comprimidos, e protegidos por senha de acesso – tratando-se exatamente de arquivos de malware em formato de amostra.

    Brandt usa o SharePoint para distribuir amostras de malware com colegas, e para evitar que malware se propague, ou seja incorretamente ativado, o mesmo distribui os conteúdos via ficheiros ZIP protegidos.

    Os sistemas da Microsoft parecem encontrar-se a analisar os arquivos protegidos por senha usando diferentes métodos para identificar as senhas. Um deles será a verificação por senhas vulgarmente usadas, mas é também possível que sejam verificadas outras áreas para tentar identificar a mesma – incluindo o próprio nome do ficheiro, notas no mesmo ou até conteúdos que sejam enviados em comentários ou nas mensagens de email.

    Caso a senha seja identificada, a Microsoft analisa os conteúdos do arquivo ZIP ou RAR para identificar possíveis ameaças. Isto pode ajudar os utilizadores a protegerem-se de eventual malware, e é possível que a Microsoft também alargue o sistema para análise de conteúdos partilhados por outros formatos – como exemplo, em anexos de email.

    Para quem não pretenda que a Microsoft analise os conteúdos dos ficheiros comprimidos, uma alternativa será evitar o uso de senhas simples ou colocar as mesmas diretamente nos ficheiros. Ou usar um programa como o 7Zip, que usa um sistema de encriptação mais seguro, e que os sistemas da Microsoft não podem rapidamente contornar.

  • Domínios .ZIP começam a ser usados para esquemas de phishing

    Domínios .ZIP começam a ser usados para esquemas de phishing

    Domínios .ZIP começam a ser usados para esquemas de phishing

    Recentemente a Google começou a permitir o registo da nova extensão de domínio .ZIP, permitindo assim que empresas e utilizadores em geral possam adquirir a extensão livremente para qualquer nome.

    No entanto, se existe um potencial desta extensão é para possíveis ataques de malware. Já se encontram a surgir casos de domínios .ZIP registados com o único propósito de enganar os utilizadores.

    Esta extensão será claramente reconhecida como sendo associada com os ficheiros comprimidos com a mesma terminologia. Ficheiros comprimidos podem surgir com extensões como RAR, 7ZIP ou… ZIP. E é exatamente aqui que grupos de criminosos online já se encontram a aproveitar esta nova extensão para possíveis ataques de malware.

    De acordo com a SANS Internet Storm Center, desde que os domínios .ZIP começaram a ficar disponíveis publicamente, já existem mais de 1230 nomes registados. No entanto, existe o potencial para que o número seja consideravelmente mais elevado nos próximos dias.

    E extensão tinha sido aprovada para registo pela Google em 2014, mas apenas em Maio de 2023 a empresa começou oficialmente a permitir o registo inicial de nomes com a mesma. No entanto, desde a semana passada que a empresa também reduziu o preço de registo do domínio, ao mesmo tempo que este também abriu para registo de todos.

    Isto parece ter sido o palco para que domínios maliciosos começassem a ser registados, usando a extensão para enganar as vítimas, fazendo passar domínios como ficheiros ou links para conteúdos ZIP – que a maioria dos utilizadores vão relacionar com ficheiros comprimidos. Isto abre portas para possíveis esquemas, onde os utilizadores podem pensar estar a aceder a um ficheiro, quando na verdade encontram-se a aceder a um link.

    Atualmente já existem registo de domínios neste formato registados apenas para direcionar os utilizadores para falsos sites de login, de plataformas como a Google e Microsoft, entre outros casos.

    Tendo em conta o perigo atualmente no acesso a domínios .ZIP, será aconselhado que os utilizadores tenham extremo cuidado ao acederem a qualquer link com esta extensão.

  • Microsoft Defender destaca-se na proteção da AV-Comparatives

    Microsoft Defender destaca-se na proteção da AV-Comparatives

    Microsoft Defender destaca-se na proteção da AV-Comparatives

    Faz algumas semanas que a empresa de análise de software antivírus “AV-TEST” revelou os testes para diversos softwares no mercado. Entre estes, o Microsoft Defender destacou-se como tendo uma boa proteção em geral, mas a custo de desempenho do sistema.

    Agora, a empresa AV-Comparatives revelou o seu teste de proteção no “Mundo Real”, que analisa o desempenho de vários sistemas de proteção antivírus a ameaças que são vulgares de os utilizadores encontrarem nos dias de hoje. O teste, respeitante aos meses de Fevereiro e Março de 2023, indica novamente que o software da Microsoft ganha a nível de proteção.

    De acordo com os testes, o Microsoft Defender foi capaz de bloquear 100% das ameaças usadas no teste, com apenas dois falsos positivos. De notar que foram usadas 260 amostras de malware ativa atualmente pela internet.

    O Kaspersky obteve a melhor pontuação em geral, bloqueando os mesmos 100% das ameaças, mas sem falsos positivos. Bitdefender e Total Defense também se destacam com proteção a 100%, mas com falsos positivos.

    Infelizmente, este teste não demonstra o uso de recursos do sistema, que continua a ser um dos problemas do Microsoft Defender. Apesar de todas as otimizações que a Microsoft tem vindo a realizar, o programa de segurança integrado no Windows 10 e 11 ainda continua a tomar uma grande parte dos recursos para as suas atividades – apesar da proteção elevada.

    Para quem tenha sistemas mais antigos ou limitados a nível de hardware, isto pode revelar-se um problema.

    Felizmente existem alternativas a ter em conta, mesmo gratuitas, que ainda possuem um nível de segurança eficaz e permitem que os utilizadores tenham a proteção base contra ameaças online.

  • Nova campanha de malware propaga-se por falsa atualização do Windows

    Nova campanha de malware propaga-se por falsa atualização do Windows

    Nova campanha de malware propaga-se por falsa atualização do Windows

    De tempos a tempos surgem formas engenhosas que os atacantes usam para tentarem infetar os dispositivos dos utilizadores. E recentemente foi descoberta uma forma de tal, onde as vítimas são enganadas com supostas atualizações do Windows.

    De acordo com a empresa de segurança Malwarebytes, foi descoberta uma nova campanha de malware, que se propaga por falsos sites na internet, e pode levar os utilizadores a instalarem um malware no sistema conhecido como Aurora. Este malware foca-se no roubo de conteúdos pessoais e contas online.

    O esquema começa quando as vítimas acedem a falsos sites de conteúdos para adulto, onde é apresentada uma mensagem padrão – normalmente para aceitar que a pessoa possui mais de 18 anos. Se os utilizadores carregarem na mesma, o sistema altera-se para um ecrã aparente de atualização do Windows – o mesmo carrega em janela completa, levando os utilizadores a crer que o Windows teria iniciado a atualização.

    No entanto, este atualizador é falso, tendo como único pretexto levar os utilizadores a descarregar o malware para o sistema. Durante o processo, o falso sistema do Windows Update indica ao utilizador que deve carregar no atalho da barra de downloads, onde se encontra um suposto ficheiro de instalação – que é, na verdade, o malware. O ficheiro possui o nome de “ChromeUpdate.exe”.

    falso site de atualização do Windows Update

    Caso os utilizadores o realizem, acabam por instalar malware nos seus dispositivos, que se foca em roubar contas pessoais e dados importantes das mesmas. Os investigadores descobriram que este esquema propaga-se sobretudo por falsos sites de conteúdos para adulto, sendo que a lista conta com mais de uma dezena de domínios.

    Como sempre, a primeira linha de defesa parte dos próprios utilizadores, que devem ter atenção aos sites que acedem, mas também a qualquer atividade que seja considerada suspeita. Neste caso, o Windows Update nunca iria pedir para descarregar um ficheiro da internet. A janela de falsa atualização do Windows Update pode ser descartada se os utilizadores pressionarem a tecla ESC durante alguns segundos.

  • Esquema de malware distribui-se em páginas verificadas do Facebook

    Esquema de malware distribui-se em páginas verificadas do Facebook

    Esquema de malware distribui-se em páginas verificadas do Facebook

    Se utiliza o Facebook para negócios ou páginas populares, talvez seja melhor ter atenção a um novo esquema que se encontra presente na plataforma. Recentemente, um novo esquema começou a surgir no Facebook, onde páginas verificadas estão a partilhar ferramentas de malware, focadas em criadores de conteúdos e gestores de negócios.

    Estas páginas encontram-se a mascarar como parte da Meta ou da Google, e distribuem as suas campanhas de malware por publicidade no Facebook. As páginas aparentam, à primeira vista, serem legitimas, uma vez que contam com os dados que seriam de esperar como é o caso do nome e até mesmo a verificação oficial do Facebook.

    Algumas das páginas contam ainda com milhares de seguidores, dando ainda mais legitimidade ao esquema. No entanto, analisando as mesmas, verifica-se que estas aparentam ter sido páginas atacadas em larga escala – que anteriormente estariam verificadas dentro do Facebook, mas foram alteradas para se fazerem passar de páginas associadas com a Meta e Google.

    mensagem falsa da Meta

    A publicidade que surge aos utilizadores pelo Facebook indica que as ferramentas de Gestão de páginas e de anúncios do Facebook iriam alterar-se, e que os utilizadores necessitam de descarregar um novo software para poderem continuar a usar as mesmas.

    É ainda deixado um link, para sites externos, onde os utilizadores podem descarregar estas ferramentas. Os mais atentos podem notar imediatamente o esquema, uma vez que os domínios dos sites não estão associados com o Facebook, e até mesmo os arquivos que se devem descarregar possuem uma senha para serem abertos – uma prática normal de se encontrar em malware, para evitar a deteção por software antivírus.

    Exemplo de página atacada no facebook

    No caso da publicidade maliciosa focada na Google, esta tende a ser direcionada para ferramentas como integrações do Board no sistema e outras similares. No entanto, o esquema final é idêntico: levar os utilizadores a descarregarem malware para os seus sistemas.

    Os ficheiros maliciosos encontram-se alojados na ferramenta da Trello, possivelmente em outras contas comprometidas.

    exemplo de malware no facebook

    Este esquema pode enganar até os utilizadores mais atentos, uma vez que é originário de páginas aparentemente legitimas, com sinais de verificado, e surge diretamente na linha de tempo dos mesmos como conteúdos publicitados. As páginas terão sido, eventualmente, atacadas e alteraram os seus conteúdos para serem similares às da Meta e da Google.

    Como sempre, é importante ter atenção a este género de esquemas, e deve-se ter cuidado em qualquer link que exija o download de fontes desconhecidas.

  • Ataque da MSI pode ter comprometido chaves privadas da Intel e de vários fabricantes

    Ataque da MSI pode ter comprometido chaves privadas da Intel e de vários fabricantes

    Ataque da MSI pode ter comprometido chaves privadas da Intel e de vários fabricantes

    A Intel encontra-se a investigar a possibilidade das suas chaves privadas do Intel BootGuard terem sido comprometidas, depois do ataque sofrido pela MSI em Março.

    De relembrar, em Março deste ano, a MSI confirmou ter sido vitima de um ataque informático, onde os atacantes podem ter obtido acesso a dados sensíveis da empresa, nomeadamente a esquemas de vários produtos, documentações internas, código fonte e alguns segredos da empresa. No total, os atacantes terão roubado mais de 1.5TB de dados durante o ataque.

    Durante a semana passada, de acordo com o portal BleepingComputer, os atacantes começaram a divulgar os dados que roubaram da MSI, aparentemente pelas negociações entre as duas partes terem falhado. Entre os dados divulgados encontra-se código fonte do firmware da mesma, e vários itens associados com motherboards desta.

    Por entre a informação que pode encontrar-se comprometida encontram-se chaves privadas de vários firmwares e imagens de produtos da MSI, mas também a chave privada do Intel BootGuard de 166 produtos da empresa.

    Estas chaves dizem respeito aos produtos da própria MSI, sendo que a Intel afirma que as suas chaves privadas não foram diretamente comprometidas. No entanto, a empresa afirma que se encontra a investigar o incidente para determinar quais as chaves que foram exatamente comprometidas no ataque.

    Apesar de estas chaves não serem diretamente da Intel, muitas delas são partilhadas entre diferentes fabricantes, portanto existe o potencial das mesmas terem sido usadas em outros produtos no mercado, tanto da MSI como de outras fabricantes reconhecidas.

    Com isto em mente, o ataque direto da MSI pode não apenas afetar a empresa, mas também outras que poderiam ter usado as mesmas chaves privadas nos seus produtos. Com estas chaves, os atacantes podem assinar as suas próprias BIOS para diferentes produtos da empresa, fazendo-se passar como legitimas, e potencialmente tendo impacto para a segurança de utilizadores finais.

    O Intel BootGuard é uma funcionalidade presente nos processadores mais recentes da Intel, que se foca exatamente a evitar que malware se instale nos firmwares dos sistemas, evitando assim que código possa ser colocado nos mesmos antes mesmo do sistema operativo carregar. A funcionalidade é vista como essencial para a segurança de sistemas com processadores Intel.

    Com estas chaves privadas, os atacantes podem também criar BIOS que contornam esta proteção, contendo conteúdos maliciosos, mas que se fazem passar como legítimas.

    Para os utilizadores que tenham sistemas da MSI, o recomendado será evitar qualquer instalação de BIOS de fontes desconhecidas ou que tenham sido indicadas por locais que não sejam os oficiais. Ao mesmo tempo, deve-se ter extremo cuidado no download de ferramentas que prometam atualizar estes conteúdos.

  • Novo malware descoberto em dezenas de apps na Google Play Store

    Novo malware descoberto em dezenas de apps na Google Play Store

    Novo malware descoberto em dezenas de apps na Google Play Store

    Apesar de a Google Play Store ainda ser um dos locais mais seguros para descarregar aplicações para Android, de tempos a tempos surgem alguns esquemas que conseguem contornar as proteções da Google.

    Foi exatamente isso que os investigadores da Kaspersky descobriram, com um novo malware, apelidado de “Fleckpe”, que terá infetado mais de 620.000 dispositivos. O malware estaria a ser propagado em dezenas de aplicações diferentes, que durante meses estiveram disponíveis na Play Store.

    De acordo com os investigadores, o Fleckpe é uma nova variante de malware, focada em subscrever os utilizadores em serviços de valor acrescentado, sem que os mesmos tenham conhecimento. Os atacantes recebem uma parte dos lucros ganhos com estas subscrições, tornando-as bastante rentáveis para os mesmos.

    Na maioria dos casos, as vítimas apenas descobrem que foram afetadas quando verificam a fatura no final do mês. Os investigadores afirmam que o malware pode estar ativo desde o final do ano passado, mas apenas agora foi encontrado e analisado.

    O malware foi descoberto em pelo menos 11 aplicações diferentes que se encontravam na Play Store:

    • com.impressionism.prozs.app
    • com.picture.pictureframe
    • com.beauty.slimming.pro
    • com.beauty.camera.plus.photoeditor
    • com.microclip.vodeoeditor
    • com.gif.camera.editor
    • com.apps.camera.photos
    • com.toolbox.photoeditor
    • com.hd.h4ks.wallpaper
    • com.draw.graffiti
    • com.urox.opixe.nightcamreapro

    Todas as aplicações foram, entretanto, removidas da Play Store, mas os atacantes podem ter distribuído as mesmas por diferentes lojas de aplicações ou sites pela internet. Os utilizadores que possam ter instalado as aplicações anteriormente indicadas, além de as deverem remover imediatamente, são ainda aconselhados a realizarem o reset do dispositivo.

    Apesar de a Google Play Store ainda ser um dos locais mais seguros para os utilizadores descarregarem novas apps para os seus smartphones, ao mesmo tempo deve-se ter cuidado com apps novas ou com reviews que indiquem possíveis problemas. Ao mesmo tempo, deve-se também ter atenção a qualquer permissão que as mesmas requeiram e que não seja diretamente necessário para o funcionamento.

  • Esquemas de phishing estão a aumentar consideravelmente

    Esquemas de phishing estão a aumentar consideravelmente

    Esquemas de phishing estão a aumentar consideravelmente

    Durante os primeiros meses de 2023, o número de ataques de phishing aumentou consideravelmente, sobretudo focado contra empresas.

    Os dados mais recentes da empresa de segurança Avast indicam que, nos primeiros três meses do ano, registou-se um aumento de 40% no número de ataques de phishing. Um dos métodos mais comuns passa por enganar as vítimas fazendo passar supostas campanhas de reembolso de grandes marcas no mercado.

    Na maioria dos casos, o esquema começa com conteúdos em anexo a emails de phishing, que direcionam os utilizadores para sites externos ou para conteúdos onde estes podem ser enganados. Em alguns casos, estes conteúdos também instalam malware nos sistemas, levando a ainda mais roubos de dados, entre os quais contas de redes sociais e diferentes plataformas na Internet.

    Os investigadores indicam que, na grande maioria dos casos, o objetivo passa por levar ao roubo do máximo de informação pessoal possível, que poderá depois ser vendida em mercados da dark web ou usada para outros esquemas.

    Jakub Kroustek, diretor da divisão de malware da Avast, afirma que os dados dos utilizadores são cada vez mais valiosos, e não importa se os utilizadores os consideram como tal ou não. Para os atacantes, esta informação pode valor bastante e será, quase sempre, usada para ainda mais esquemas.

    Como sempre, a primeira linha de defesa parte dos próprios utilizadores, que devem sempre ter atenção à origem de conteúdos que recebam nos seus dispositivos, e sobretudo quando estes partem de fontes desconhecidas ou, usando a expressão popular, “são demasiado bons para ser verdade”.

  • Facebook neutralizou campanha de roubo de contas via cookies

    Facebook neutralizou campanha de roubo de contas via cookies

    Facebook neutralizou campanha de roubo de contas via cookies

    O Facebook confirmou ter neutralizado uma campanha de malware, cujo objetivo seria roubar os cookies de utilizadores da rede social, para aceder às contas dos utilizadores. Estas contas eram depois usadas para correr campanhas publicitárias maliciosas dentro do Facebook.

    De acordo com a empresa, a campanha era conhecida como “NodeStealer”, sendo que o malware era distribuído diretamente pelo Facebook aos utilizadores. O NodeStealer encontra-se escrito em javascript, sendo que era distribuído para os utilizadores por meio de diversos esquemas.

    O objetivo seria levar as potenciais vítimas a correrem o script nos seus sistemas, roubando os cookies da sessão do Facebook no navegador. Com esta informação, os atacantes poderiam aceder diretamente às contas dos mesmos, e usar estas para distribuir o malware a ainda mais utilizadores, ou lançarem campanhas de phishing.

    O roubo de cookies tem vindo a ser uma prática cada vez mais comum em ataques, sobretudo porque permite contornar muitas das proteções que normalmente existem para as contas. Isto inclui a autenticação em duas etapas, sendo possível replicar as contas que os utilizadores tenham ativas nos seus navegadores – basicamente, seria como criar uma réplica do navegador noutro computador.

    O Facebook afirma que os domínios usados para o ataque foram neutralizados no ia 25 de janeiro, sendo que a origem dos atacantes acredita-se que seja do Vietname.

  • Esquema usa nome da Vodafone para enganar com falsas faturas

    Esquema usa nome da Vodafone para enganar com falsas faturas

    Esquema usa nome da Vodafone para enganar com falsas faturas

    Existem centenas de esquemas ativos pela internet praticamente todos os dias, que tentam enganar os utilizadores mais desatentos e levar a roubar dados sensíveis ou a instalar malware nos seus dispositivos.

    E um dos mais recentes encontra-se a usar o nome da Vodafone para tal. De forma recente, o TugaTech confirmou uma nova campanha de phishing, que se encontra a ser propagada via email, com o objetivo de enganar os utilizadores com falsas faturas da empresa.

    O esquema começa quando os utilizadores recebem um email, supostamente da Vodafone, a indicar a falta de pagamento de uma fatura de valores avultados. O email conta ainda com links onde os utilizadores podem descarregar os conteúdos das faturas – supostamente um PDF ou VBS.

    imagem do esquema via email

    Caso os utilizadores realmente descarreguem os conteúdos – algo que muitos podem fazer sem verificar de imediato a origem do email – encontram-se a descarregar malware para o seu sistema.

    Apesar de os links indicarem que os ficheiros são PDF ou, curiosamente, VBS, o que os utilizadores descarregam será um ficheiro EXE comprimido, que uma vez executado, procede com a instalação de malware nos sistemas.

    E sempre importante relembrar que se deve ter atenção na altura de descarregar conteúdos de emails desconhecidos. Em caso de duvidas, o processo correto a realizar será aceder diretamente ao site das entidades e verificar a existência de faturas pendentes – ou ligar para a linha de suporte da mesma.

  • Meta alerta para aumento de esquemas com o ChatGPT e Inteligência Artificial

    Meta alerta para aumento de esquemas com o ChatGPT e Inteligência Artificial

    Meta alerta para aumento de esquemas com o ChatGPT e Inteligência Artificial

    Nos últimos meses, tecnologias como o ChatGPT tem vindo a ganhar cada vez mais destaque sobre as suas capacidades para o futuro, e isso demonstra-se na forma como estas já se encontram a ser ativamente usadas para várias tarefas.

    No entanto, se existem pontos positivos do ChatGPT e da Inteligência Artificial em geral, também existem os seus pontos negativos. De acordo com um recente estudo da Meta, atualmente estamos a verificar a um aumento considerável a nível de malware que se disfarça do ChatGPT e outras tecnologias similares, com o objetivo de enganar os utilizadores.

    De acordo com os investigadores da Meta, apenas no mês de Março de 2023, os investigadores terão descoberto mais de dez famílias diferentes de malware que usam o tema do ChatGPT ou IA em geral para enganar os utilizadores, roubando dados sensíveis das suas contas online.

    A empresa afirma ainda ter bloqueado mais de 1000 links diferentes para sites que partilhavam esquemas deste género. Estes conteúdos encontram-se agora bloqueados nas plataformas da Meta, mas o número de esquemas aumenta praticamente todos os dias.

    Na sua maioria, o esquema começa com aplicações ou extensões para navegador que prometem fornecer funcionalidades do ChatGPT para os utilizadores. No entanto, o objetivo real será instalar malware nos sistemas ou proceder com o roubo de dados sensíveis, como senhas e dados de login. Em alguns dos casos, as aplicações até funcionam como esperado, mas em segundo plano procedem com as atividades maliciosas.

    Os criminosos por detrás destas extensões e aplicações tentam aproveitar o entusiasmo que existe atualmente no mercado sobre tecnologias de IA, e do desconhecimento de muitos sobre como estas funcionam. Isto é algo comum que acontece quando surge uma nova tecnologia no mercado – e algo similar aconteceu quando as criptomoedas começaram também a ser o tema de conversa na internet.

    No final, cabe aos próprios utilizadores terem atenção para os conteúdos que acedem e instalam nos seus dispositivos. Muitas das funcionalidades que estas apps e extensões prometem são, em parte, totalmente dispensáveis e não ajudam nas tarefas dos utilizadores para o dia a dia – ou podem ser igualmente realizadas diretamente pelas plataformas reais.

  • Cadeado de “site seguro” no Chrome vai ser alterado

    Cadeado de “site seguro” no Chrome vai ser alterado

    Cadeado de “site seguro” no Chrome vai ser alterado

    Desde que o HTTPS começou a ser adotado como o padrão de praticamente todos os sites na internet, o uso de um cadeado para demonstrar a segurança de um site tornou-se algo irrelevante. De tal forma que, se no passado este era indicativo de um site seguro, hoje tornou-se algo banal da interface – que raramente é identificado pelos utilizadores em geral.

    A pensar nisso, a Google encontra-se agora a preparar para novas mudanças na sua interface, deixando de lado o conhecido cadeado. E com uma razão justificativa para tal.

    Apesar de o HTTPS faz muito que deixou de ser o único indicativo de segurança de um website, ainda existem muitos utilizadores que consideram que um site, por ter este cadeado, é considerado “seguro de visitar”. Isto nem sempre é verdade – mesmo sites de phishing e malware começaram a adotar ligações HTTPS.

    Tendo isso em conta, a Google prepara-se para deixar de usar o tradicional cadeado junto do nome do domínio, na barra de endereço do Chrome. Invés disso, a empresa vai adotar um sinal de configurações, que quando os utilizadores carregam, podem verificar mais informações sobre o site que se encontram a visitar, as suas permissões, entre outros detalhes.

    Nova imagem do cadeado do Chrome

    A Google refere que este ícone pretende ser um termo neutro, que não indica diretamente se o site é seguro ou não. Os utilizadores ainda podem aceder a toda a informação que necessitem do site dentro do menu que surge quando se clica na opção, incluindo verificar a indicação de que o site está a usar HTTPS. Mas deixar de ter o cadeado pretende ser uma forma de ajudar os utilizadores a não considerarem todos os sites seguros apenas por o terem.

    O novo ícone encontra-se atualmente disponível no Chrome Canary, e espera-se que venha a ser implementado nas versões estáveis do Chrome 117, previstas de chegarem em Setembro de 2023.

    A mesma alteração será aplicada também no Chrome para Android, sendo que no iOS vai ser removido o ícone por completo, ficando apenas o domínio.

  • Cuidado com um novo malware que se propaga pela Google

    Cuidado com um novo malware que se propaga pela Google

    Cuidado com um novo malware que se propaga pela Google

    Existe uma nova ameaça para os utilizadores do Google, que se propaga tentando infetar sistemas Windows através de falsa publicidade.

    Apelidado de “LOBSHOT”, este novo malware para Windows distribui-se, sobretudo, por publicidade da Google, que redireciona os utilizadores para falsos sites de software popular como o 7-ZIP, VLC, OBS, Notepad++, CCleaner, TradingView, Rufus, entre outros.

    Quando os utilizadores pesquisam por estes programas no Google, a publicidade tende a surgir no topo dos resultados, aparentemente associada com os sites onde os utilizadores podem descarregar os mesmos. No entanto, as versões que são distribuídas redirecionam para sites de terceiros, com conteúdo malicioso.

    De acordo com os investigadores da empresa de segurança Elastic Security Labs, o malware possui a capacidade de se instalar no sistema como um servidor VNC, dando controlo aos atacantes para controlarem remotamente o mesmo. Com este acesso, os atacantes podem descarregar conteúdos de e para o sistema, bem como executar o mesmo para levar à infeção por outras variantes de malware e ransomware.

    Quando o LOBSHOT se instala no sistema, este começa por verificar se o Microsoft Defender se encontra ativo, e caso esteja, desativa o mesmo. No entanto, caso o Defender não seja identificado, o malware cria uma entrada no registo, que faz com que o mesmo inicie automaticamente com o sistema, enviado de cada vez informação sobre o mesmo para os atacantes.

    exemplo de malware distribuído pelas pesquisas da Google

    O malware possui ainda a capacidade de verificar se o utilizador possui alguma carteira de criptomoedas instalada no sistema, e em caso positivo, tenta recolher os dados da mesma – incluindo de extensões no Edge, Chrome e Firefox.

    No entanto, o malware também instalada no sistema uma variante de hVNC, basicamente, um sistema oculto de VNC que permite aos atacantes obterem acesso remoto, a qualquer momento, para o sistema infetado. Isto permite que os mesmos recolham dados dos utilizadores sem estes se aperceberem, ou literalmente controlem o dispositivo.

    Como sempre, é importante que os utilizadores tenham atenção aos locais de onde se encontram a descarregar novo software, e que verifiquem sempre se o mesmo é proveniente do site legitimo. Outra medida de proteção pode passar por usar um bloqueador de publicidade – que neste caso, bloqueia a publicidade da Google, prevenindo que a mesma possa chegar aos utilizadores.

    Apesar do uso de bloqueadores de publicidade ser algo controverso para alguns, neste caso é recomendado que se tenha em prioridade a segurança dos utilizadores, e sem dúvida que se consegue isso com esta medida.

    Usar um software de segurança atualizado também será importante, e não apenas manter a proteção do Microsoft Defender, que apesar de ter vindo a melhorar, ainda se encontra longe de atingir o patamar de alguns softwares de segurança mais reconhecidos no mercado.

  • Google bloqueou 1.43 milhões de apps maliciosas na Play Store em 2022

    Google bloqueou 1.43 milhões de apps maliciosas na Play Store em 2022

    Google bloqueou 1.43 milhões de apps maliciosas na Play Store em 2022

    A Google revelou que, devido às melhorias feitas na segurança da Play Store, estas terão impedido mais de 1.43 milhões de apps maliciosas de serem disponibilizadas para os utilizadores em 2022.

    A empresa sublinha ainda que, durante o mesmo período, terá banido mais de 173.000 contas de programadores maliciosas, bem como preveniu compras abusivas no valor de quase 2 mil milhões de dólares, usando algumas das suas ferramentas de proteção da Play Store e dos seus sistemas de pagamento.

    As novas medidas de verificação para contas de programadores na plataforma, como a verificação por número de telefone e identidade, também preveniram que a plataforma fosse usada para a propagação deste género de conteúdos maliciosos e que fossem contra as regras da plataforma.

    A Google afirma ainda que, nos últimos três anos, preveniu que 500.000 aplicações pudessem aceder a dados sensíveis dos utilizadores. A empresa terá ajudado ainda a corrigir mais de 500.000 falhas de segurança em 300.000 aplicações diferentes, com um combinado de 250 mil milhões de instalações.

    Esta revelação surge na mesma altura que a Google começa a integrar novas regras de privacidade na Play Store, que pretende dar mais controlo aos utilizadores sobre os dados que possuem dentro das apps, sendo que agora, os programadores devem fornecer meios para o acesso a essa informação, e à sua eliminação caso se pretenda.

    Apesar destas medidas de proteção, ainda existe muito malware que consegue escapar dos olhares da Google, chegando a ficar disponível para os utilizadores via a Play Store. Ainda de forma recente mais de 38 jogos falsos de Minecraft foram encontrados na Play Store, que estariam a apresentar publicidade de forma oculta para os utilizadores nos seus dispositivos, afetando mais de 35 milhões de utilizadores.

    Ainda assim, as medidas que a Google tem vindo a implementar na Play Store, ajudam a reduzir o potencial de ataques a partir da plataforma, o que será certamente benéfico para os utilizadores em geral, sobretudo tendo em conta que a Play Store ainda continua a ser uma das principais plataformas de apps no mercado do Android.

  • Clones de Minecraft na Google Play Store infetam 35 milhões de dispositivos

    Clones de Minecraft na Google Play Store infetam 35 milhões de dispositivos

    Clones de Minecraft na Google Play Store infetam 35 milhões de dispositivos

    Minecraft é um dos videojogos mais populares no mercado, com milhões de utilizadores ativos todos os dias em diferentes plataformas. O jogo encontra-se também disponível para dispositivos móveis, permitindo que qualquer um possa ter a capacidade de criar os seus mundos virtuais em qualquer lugar.

    No entanto, o jogo não é gratuito, o que leva muitos utilizadores, sobretudo os mais pequenos, a procurarem alternativas. E é aqui que entra um novo esquema descoberto recentemente na Play Store da Google.

    Investigadores da empresa de segurança McAfee revelaram ter descoberto 38 aplicações maliciosas na Google Play Store, que eram consideradas como alternativas gratuitas ao Minecraft.

    Estas aplicações, algumas das quais com milhões de downloads, contam com um malware conhecido como “HiddenAds”, o qual carrega publicidade nos dispositivos, em segundo plano, e carrega nas mesmas para gerar receitas para os criadores das apps.

    exemplo de aplicação maliciosa na play store da google

    As aplicações maliciosas foram descarregadas mais de 35 milhões de vezes, em diversos países, mas com foco para os EUA, Brasil e Canadá. Os jogos mantinham as atividades maliciosas em segundo plano, ocultas dos utilizadores, e como os jogos funcionavam corretamente, muitos utilizadores poderiam nem se aperceber da atividade em segundo plano.

    A lista das aplicações mais descarregadas inclui os nomes:

    • Block Box Master Diamond – 10 milhões de downloads
    • Craft Sword Mini Fun – 5 milhões de downloads
    • Block Box Skyland Sword – 5 milhões de downloads
    • Craft Monster Crazy Sword – 5 milhões de downloads
    • Block Pro Forrest Diamond – 1 milhão de downloads
    • Block Game Skyland Forrest – 1 milhão de downloads
    • Block Rainbow Sword Dragon – 1 milhão de downloads
    • Craft Rainbow Mini Builder – 1 milhão de downloads
    • Block Forrest Tree Crazy – 1 milhão de downloads

    Este género de aplicações não se encontram focadas em roubar dados dos utilizadores, mas ainda assim, o carregamento de publicidade em segundo plano pode levar a um uso mais elevado de recursos dos dispositivos, o que acaba por se traduzir num maior aquecimento do mesmo, e redução da autonomia da bateria.

  • Falha no router TP-Link Archer AX21 usada pelo botnet Mirai

    Falha no router TP-Link Archer AX21 usada pelo botnet Mirai

    Falha no router TP-Link Archer AX21 usada pelo botnet Mirai

    Os donos do router TP-Link Archer AX21 (AX1800) talvez queiram proceder com a atualização do mesmo, tendo em conta que foi recentemente descoberta uma falha no mesmo que pode ser usada para atividades do botnet Mirai.

    A falha foi revelada durante o evento Pwn2Own Toronto, que se realizou em Dezembro de 2022. A falha foi revelada para a TP-Link durante o mês de Janeiro de 2023, com a correção lançada durante o mês passado – no entanto, tendo em conta que a atualização necessita de ser manualmente instalada em muitos casos, a grande maioria dos utilizadores podem não realizar imediatamente o procedimento.

    Se explorada, esta falha pode permitir que o dispositivo seja usado pela botnet Mirai para realizar ataques DDoS, integrando-se na rede do malware para este género de atividades. Os investigadores acreditam que, apesar de a falha ter sido corrigida, encontra-se agora a ser ativamente explorada, uma vez que muitos dos dispositivos afetados não foram atualizados para a versão mais recente do firmware.

    De acordo com a entidade Zero Day Initiative (ZDI), a falha começou a ser subitamente usada em massa para ataques durante a semana passada, sobretudo em dispositivos que se encontram na zona da Europa.

    A falha afeta a própria interface do TP-Link Archer AX21, que pode ser explorada para executar código remotamente. A botnet do Mirai encontra-se a explorar esta falha para aumentar a sua capacidade de ataque, usando os dispositivos das vítimas para ataques DDoS em larga escala.

    Ao mesmo tempo, o Mirai encontra-se ainda a usar esta falha para mascarar os ataques, fazendo-os passar como tráfego legitimo, e tornando assim mais complicada a identificação da falha por sistemas externos de monitorização.

    Os utilizadores que tenham estes routers são aconselhados a atualizarem para a versão mais recente do firmware, disponível a partir do site da fabricante.

  • VirusTotal agora conta com ajuda de IA para identificar código malicioso

    VirusTotal agora conta com ajuda de IA para identificar código malicioso

    VirusTotal agora conta com ajuda de IA para identificar código malicioso

    O VirusTotal é uma das plataformas online mais reconhecidas na análise de conteúdos de malware e investigação de código potencialmente malicioso, fornecendo aos utilizadores uma forma simples e rápida de poderem analisar determinados conteúdos por possíveis malwares ou riscos digitais.

    A plataforma faz parte da Google, e recentemente, esta revelou um conjunto de novidades onde integra a tecnologia de Inteligência Artificial para fornecer detalhes mais extensos sobre potenciais ameaças.

    Em causa encontra-se a nova funcionalidade de “Code Insight“, que segundo a empresa, usa o poder de IA para analisar o código de conteúdos potencialmente maliciosos, como scripts, para identificar as atividades dos mesmos. O código deste género de ficheiros é analisado de forma direta, sendo que a IA avalia quais os usos do mesmo, indicando potenciais ataques que podem ser realizados.

    Por agora, esta ferramenta irá focar-se apenas em conteúdos que sejam destinados a scripts, nomeadamente a scripts de Powershell PS1. Isto permite à entidade focar os recursos para conteúdos úteis, enquanto abrange também um conjunto importante de ficheiros que, em muitos casos, são usados para ataques.

    exemplo do funcionamento de IA para analisar malware

    Ao mesmo tempo, este sistema também pode ajudar a identificar possíveis conteúdos de falsos positivos, que podem não ser diretamente identificados pelos motores de antivírus. Uma vez que a IA analisa todo o código dos scripts, esta é capaz de identificar cada atividade que o código realiza.

    Isto permite que os utilizadores tenham mais facilmente conhecimento do que se encontra a ser realizado, e dessa forma, possam identificar malware mesmo em ficheiros que estejam marcados como “seguros” na análise por vírus.

    A plataforma afirma que espera expandir a funcionalidade para mais tipos de ficheiro no futuro. Ao mesmo tempo, o sistema encontra-se ainda em melhorias, portanto a identificação de certos códigos e conteúdos deve melhorar com o tempo.

  • Malware EvilExtractor ganha tração na Europa e EUA

    Malware EvilExtractor ganha tração na Europa e EUA

    Malware EvilExtractor ganha tração na Europa e EUA

    Um novo malware, conhecido como “EvilExtractor”, tem ganho bastante notoriedade entre os atacantes para roubar dados sensíveis de utilizadores na Europa e EUA.

    De acordo com vários investigadores de segurança, este malware é vendido por uma empresa conhecida como “Kodex”, onde o mesmo é fornecido como um malware por subscrição, com um custo final de 59 dólares mensais. Os utilizadores recebem com o mesmo o malware, bem como ferramentas para permitirem editar e controlar o mesmo – incluindo a capacidade de o utilizador como meio de ransomware e contornar as proteções tradicionais de segurança, incluindo contornar o Windows Defender.

    Apesar de o EvilExtractor ser promovido pela entidade como um software legitimo, o mesmo encontra-se a ser usado, sobretudo, para atividades maliciosas, infetando os sistemas dos utilizadores.

    As atividades do malware começaram a surgir em Outubro de 2022, altura em que começou também a ser vendido sobre diversas plataformas da Dark Web. Desde então o mesmo tem expandido-se, sendo que, atualmente, encontra-se focado sobretudo para atacar utilizadores nos EUA e na Europa.

    Este malware foca-se sobretudo no roubo de informação, nomeadamente de dados de login e outras informações que possam ser consideradas úteis para os atacantes. Existem casos onde o malware pode também ser adaptado para distribuir ransomware, além de roubar os dados.

    O pico do EvilExtractor terá ocorrido em Março de 2023, altura em que o mesmo começou a ser distribuído sobre diversas campanhas de phishing pela internet.

    Os dados demonstram ainda que a atividade deste malware tem aumentado consideravelmente nos últimos tempos, e é possível que se agrave para o futuro, com novos meios de ser distribuído.

  • MSI Afterburner recebe nova atualização depois de quase ser descontinuado

    MSI Afterburner recebe nova atualização depois de quase ser descontinuado

    MSI Afterburner recebe nova atualização depois de quase ser descontinuado

    O MSI Afterburner é um dos programas mais populares para o overclock de placas gráficas, mas devido à guerra entre a Rússia e a Ucrânia, por algum tempo o futuro do mesmo ficou sobre uma linha ténue – tendo em conta que o programador associado com o programa encontra-se na Rússia.

     No entanto, parece que o desenvolvimento do programa ainda se encontra ativo. Depois de um longo período sem atualizações, encontra-se hoje disponível a nova versão 4.6..5 do MSI Afterburner, que é a primeira versão estável do mesmo em anos.

    Esta nova versão surge depois de o programador russo da aplicação ter declarado o desenvolvimento do programa como praticamente “encerrado”, devido em parte aos conflitos que se encontravam a verificar na Rússia.

    Ainda assim, a nova versão 4.6.5 chega agora com várias novidades, e sobretudo, com suporte para as placas gráficas mais recentes no mercado. Esta nova versão agora conta com suporte para as mais recentes placas gráficas que se encontram disponíveis no mercado, nomeadamente a RTX 4000 e Radeon RX 7900.

    Obviamente, esta versão chega ainda com as tradicionais correções de bugs e algumas melhorias de estabilidade, pelo que será uma instalação recomendada para quem use o programa no dia a dia para a monitorização das suas placas gráficas.

    Foram também feitas melhorias no controlo da voltagem para algumas placas mais recentes da NVIDIA, bem como melhorias na monitorização dos dados associados com placas Intel Arc. Esta nova versão conta também com o novo suporte a monitorização da temperatura dos discos NVMe, a partir de um novo plugin existente. Isto permite que os utilizadores possam rapidamente monitorizar o estado do disco NVMe nos seus sistemas.

    Como sempre, o download desta aplicação pode ser feita a partir do site oficial da mesma – e será recomendado ter atenção que o download seja feito apenas desta fonte, uma vez que existe malware que se encontra a propagar usando o nome para tentar enganar os utilizadores que procuram o software.

  • Pobre TV encontra-se inacessível e com futuro incerto

    Pobre TV encontra-se inacessível e com futuro incerto

    Pobre TV encontra-se inacessível e com futuro incerto

    Apesar de plataformas como o Netflix e Disney+ terem vindo a ganhar destaque no mercado, permitindo aos utilizadores terem acesso a vários conteúdos com apenas um pagamento mensal, existe quem ainda usava plataformas na margem da lei.

    Uma das plataformas mais conhecidas em Portugal de distribuição de conteúdos piratas era o Pobre TV. No entanto, desde o dia de ontem que o domínio principal de acesso à plataforma se encontra inacessível.

    Durante o dia de ontem, o site deixou subitamente de funcionar, sendo apresentada uma mensagem genérica de erro de configuração do mesmo. O domínio principal do site estaria alojado na empresa Namecheap.

    Desde então, o site continua inacessível, e sem previsões de quando ou se irá voltar ao ativo. Neste momento, o mesmo não se encontra a carregar conteúdos, surgindo apenas uma mensagem de erro no carregamento.

    A plataforma não deixou nenhum aviso relativamente ao repentino encerramento. Apesar de falhas serem regulares nesta plataforma, tendo em conta também os seus problemas legais, estas tinham a tendência a ser rapidamente resolvidas – neste caso, o site encontra-se inacessível faz quase 24 horas.

    Ainda se desconhece se a plataforma irá voltar a ficar ativa, mas é importante ter especial atenção com as possíveis alternativas a este género de conteúdos. Pela internet existem utilizadores que se encontram já à procura de formas de acederem a outros conteúdos, sendo importante sublinhar que estes são considerados pirataria.

    Ao mesmo tempo, existem sites criados com o único pretexto de enganar possíveis utilizadores para os mais variados fins – desde instalação de malware a roubo de dados sensíveis.

  • Cuidado com esta nova campanha de malware no YouTube

    Cuidado com esta nova campanha de malware no YouTube

    Cuidado com esta nova campanha de malware no YouTube

    O YouTube tem sido ultimamente alvo de vários esquemas, focados em enganar os utilizadores mais desatentos. Desde transmissões para esquemas de criptomoedas a malware, parece que uma nova campanha encontra-se agora a ganhar tração na plataforma de vídeos mais usada na internet.

    Recentemente foi descoberta uma nova campanha de malware, que se distribui por vídeos do YouTube, e foca a levar os utilizadores a descarregarem malware nos seus sistemas. Esta campanha distribui um malware conhecido como “in2al5d p3in4er” (invalid printer), que possui como objetivo instalar o malware Aurora nos sistemas infetados das vítimas.

    De acordo com os investigadores da empresa de segurança Morphisec, o malware é conhecido por ser focado em roubar dados de login em diferentes plataformas. Depois de ser instalado num sistema comprometido, este começa por analisar as senhas e cookies do navegador, no sentido de tentar roubar as contas de diversas plataformas sociais – com o objetivo final de propagar ainda mais o malware.

    Na maioria dos casos, o malware é distribuído em links que se encontram em vídeos do YouTube, focados a cracks para programas conhecidos no mercado. Os utilizadores são direcionados para um link, onde supostamente poderiam obter o programa, mas acabam por instalar malware nos seus sistemas.

    Como sempre, a primeira linha de defesa para os utilizadores será terem cuidado com os links que acedem, sobretudo nos que prometem conteúdos potencialmente ilegítimos. Mesmo que os sites finais para onde as possíveis vitimas são direcionadas aparentarem ser legítimos, deve-se ter bastante cuidado com o download de programas suspeitos no sistema – e como sempre, uma boa solução de antivírus será certamente aconselhada.

  • Apple vai lançar iOS 17 com suporte a lojas de apps externas

    Apple vai lançar iOS 17 com suporte a lojas de apps externas

    Apple vai lançar iOS 17 com suporte a lojas de apps externas

    A Apple tem vindo a sentir a pressão do mercado, tanto para adotar o sistema de carregamento USB-C nos seus dispositivos, como também para começar a permitir que apps externas possam ser carregadas no iOS.

    E parece que, finalmente, isso vai acontecer. Os rumores mais recentes apontam que a Apple está a preparar-se para revelar, durante o evento WWDC deste ano, o iOS 17. Uma das novidades deste sistema será a possibilidade de os utilizadores usarem plataformas de apps externas da App Store, bem como a realizarem o carregamento direto de apps para o sistema.

    Segundo revela o portal Bloomberg, a Apple encontra-se a realizar esta medida para ir de encontro com a nova diretiva da União Europeia, conhecida como “Digital Markets Act”. A lei foi aprovada em 2022, e espera-se que venha a entrar em vigor em Março de 2024 – sendo que todas as empresas necessitam de se adaptar até esta data.

    Desta forma, a Apple pode revelar já algumas novidades, começando a permitir que os utilizadores possam usar lojas de aplicações externas nos seus dispositivos. Isto será uma das maiores mudanças de sempre na plataforma da Apple, e sobretudo para os utilizadores, que estavam habituados a terem de usar a App Store para instalarem as suas apps.

    É importante relembrar que a Apple sempre foi contra esta medida, alegando que a App Store fornece aos utilizadores segurança no acesso às aplicações, e que permitir o carregamento de plataformas externas poderia abrir o sistema a falhas e malware.

    Se tudo correr como esperado, esta mudança deve chegar juntamente com o iOS 17, e a todos os dispositivos que venham a suportar este sistema.

  • Malware para Android infiltra-se na Google Play Store com 100 milhões de downloads

    Malware para Android infiltra-se na Google Play Store com 100 milhões de downloads

    Malware para Android infiltra-se na Google Play Store com 100 milhões de downloads

    De tempos a tempos existe malware que consegue escapar das teias de segurança da Google, acabando por se infiltrar na Play Store e alcançando um maior leque de utilizadores. Foi o que aconteceu recentemente com um novo malware, conhecido como Goldoson.

    Este malware conseguiu distribuir-se recentemente por mais de 60 aplicações legitimas, que coletivamente possuem mais de 100 milhões de downloads. De acordo com os investigadores da empresa de segurança McAfee, responsáveis pela descoberta, o malware conseguiu infiltrar-se através da exploração de extensões de terceiros que eram usadas em aplicações legitimas.

    Uma vez instalado nos sistemas, o malware tinha a capacidade de recolher dados das aplicações instaladas no dispositivo, dados da rede sem fios e a localização do utilizador via GPS. Além disso, este poderia também realizar fraudes relacionadas com publicidade, tocando automaticamente em campanhas publicitárias como se fossem do utilizador.

    Quando uma aplicação infetada pelo Goldoson era instalada nos dispositivos, este começava por receber alguns parâmetros de configuração de um servidor remoto, que eram usados depois para iniciar as atividades maliciosas.

    O nível de recolha de dados baseava-se nas permissões que a app usada poderia ter. Como se tratavam de apps legitimas, a maioria poderiam ter permissões perfeitamente legítimas para o uso que se pretendia, mas o malware aproveitava as mesmas para recolher o máximo de informação e dados possíveis.

    Sobre a fraude com publicidade, o malware era capaz de carregar em segundo plano páginas contendo publicidade da Google, que depois carregava secretamente como se fosse a vítima do dispositivo infetado, gerando receitas para os criminosos.

    A maioria das aplicações que foram infetadas com o malware foram prontamente corrigidas pelos seus programadores. As que não foram corrigidas, a Google procedeu com a sua remoção da Play Store por violarem os termos da plataforma – mesmo que as apps em questão não fossem diretamente as maliciosas.

    No entanto, é importante ter em conta que este malware pode distribuir-se por outras aplicações, que podem encontrar-se em plataformas externas da Play Store. Normalmente, este género de malware que realiza atividades em segundo plano é extremamente difícil de identificar, uma vez que não apresenta qualquer interação para com o utilizador.

    Uma das formas de identificar este género de malware passa por avaliar possíveis desgastes excessivos da bateria de forma súbita, ou aquecimento anormal com o dispositivo em repouso.

  • WhatsApp revela novas funcionalidades para proteção a roubo de contas

    WhatsApp revela novas funcionalidades para proteção a roubo de contas

    WhatsApp revela novas funcionalidades para proteção a roubo de contas

    Os utilizadores do WhatsApp devem encontrar-se, a partir de hoje, mais protegidos contra ataques de roubo de contas. A Meta confirmou que vai começar a fornecer novas funcionalidades de segurança, focadas em evitar o possível roubo de contas do WhatsApp.

    Uma das novas funcionalidades será a de verificação de dispositivos, que basicamente impede que dispositivos infetados com malware possam ser usados para o roubo de credenciais de acesso ao WhatsApp, usando as mesmas para o envio de mensagens de spam ou phishing a outros contactos.

    Este novo sistema usa um conjunto de verificações, feitas diretamente nos sistemas do WhatsApp, para identificar conteúdos que possam ter sido realizados por atividades maliciosas, bloqueando os mesmos. A empresa sublinha que este sistema funciona na base do uso de tokens e várias outras verificações “invisíveis” para os utilizadores, mas que terão efeitos finais para prevenir a possível exploração para ataques.

    De acordo com o WhatsApp, infeções de malware são uma das situações mais comuns onde os utilizadores podem perder acesso às suas contas do WhatsApp, ou onde as mesmas são usadas para o envio de conteúdo de spam.

    Todas estas proteções devem ser transparentes para os utilizadores. Ou seja, não existe nada a configurar ou ativar, sendo todo o processo feito em segundo plano para ajudar a garantir a segurança das contas.

    Esta novidade já terá sido fornecida para os utilizadores do WhatsApp no Android nas últimas semanas, e encontra-se a partir de hoje disponível também para utilizadores no iOS.

    verificação de contas e migração de dados

    Além desta novidade, os utilizadores também contam agora com uma nova Proteção de transferência de contas, que basicamente adiciona uma aprovação final na tarefa de migrar a conta do WhatsApp para um novo número de telefone ou dispositivo. Os utilizadores necessitam de autorizar o processo num passo extra, evitando que este seja feito pela outra parte sem autorização.

    Por fim, e focando nas mensagens, a plataforma também revelou um novo sistema que vai verificar automaticamente as chaves de encriptação das mensagens, garantindo que as mesmas são válidas e os conteúdos das mensagens não terão sido comprometidos. Este sistema vai também funcionar em segundo plano, de forma automática, para todas as contas.

    De relembrar que o WhatsApp sempre teve grande foco a nível da privacidade e encriptação de conteúdos, sendo que a encriptação das mensagens na plataforma foi ativada por padrão para todas as contas em Abril de 2016. Eventualmente a plataforma revelou também a encriptação de backups do WhatsApp em Outubro de 2021, garantindo que também os mesmos e as suas conversas estão seguras.

    A Meta afirma que o WhatsApp é atualmente usado por mais de dois mil milhões de utilizadores em mais de 180 países diferentes.

  • Ataque da 3CX associado a grupo na Coreia do Norte

    Ataque da 3CX associado a grupo na Coreia do Norte

    Ataque da 3CX associado a grupo na Coreia do Norte

    A empresa de comunicações VOIP 3CX confirmou, durante esta semana, que o ataque sofrido pela empresa o mês passado teve origem num grupo associado com a Coreia do Norte.

    De acordo com o comunicado da empresa, a investigação realizada do ataque confirmou que terá sido realizado por um grupo de hackers conhecido como “UNC4736”, o qual possui as suas origens na Coreia do Norte.

    A relembrar que o ataque da 3CX levou a que os atacantes conseguissem infetar sistemas com o programa usando um malware conhecido como “TxRLoader”, que por sua vez permitia a instalação de um segundo malware, conhecido como “Coldcat”.

    Uma vez infetado, o sistema ficaria em controlo dos atacantes de forma remota. Este tentava ainda ocultar as suas atividades, instalando no sistema ficheiros DLL aparentemente legítimos e que eram recarregados cada vez que o sistema era reiniciado.

    Este acesso persistente permitia que os atacantes tivessem acesso praticamente total aos sistemas infetados, com a capacidade de enviarem comandos remotamente e de descarregarem ficheiros.

    De relembrar que a empresa confirmou inicialmente o ataque como tendo afetado a sua aplicação dedicada para desktop, a 3CXDesktopApp, tendo recomendado os utilizadores a migrarem para a versão web da mesma e a removerem a aplicação desktop.

  • Campanha de malware infeta sites com falsas atualizações do Chrome

    Campanha de malware infeta sites com falsas atualizações do Chrome

    Campanha de malware infeta sites com falsas atualizações do Chrome

    De tempos a tempos surgem novas formas dos hackers tentarem cativar as suas vítimas, e a mais recente encontra-se agora sobre um novo esquema focado para os utilizadores do Google Chrome.

    De acordo com os investigadores da empresa de segurança NTT, desde Novembro de 2022 que se encontra ativa uma campanha de malware, focada em infetar sites pela Internet, com o objetivo de redirecionar os utilizadores do Chrome para falsas notificações de atualização.

    Apesar de a campanha encontrar-se ativa desde novembro do ano passado, em Fevereiro de 2023 esta começou a surgir em mais websites, e focando-se em mais idiomas para tentar chegar a ainda mais utilizadores.

    Os sites comprometidos carregam um ficheiro de javascript, que leva os utilizadores para uma mensagem de erro, e onde é indicado que a resolução passa por atualizar o Chrome. Com isto, o site redireciona os utilizadores para conteúdos que podem levar as vítimas a instalarem malware nos seus sistemas.

    Se o conteúdo que, supostamente, é a atualização for instalado nos sistemas, as vítimas passam a ter um minerador de criptomoedas sob o mesmo, que começa a usar os recursos do hardware para essa tarefa.

    Este género de campanhas não é propriamente recente, mas tem vindo a ganhar bastante destaque nos últimos meses, sobretudo através da exploração de falhas em sites pela internet, que muitas vezes podem afetar vítimas que apenas se encontram a tentar aceder aos mesmos.

  • Cibercriminosos vendem publicação de apps maliciosas na Google Play Store

    Cibercriminosos vendem publicação de apps maliciosas na Google Play Store

    Cibercriminosos vendem publicação de apps maliciosas na Google Play Store

    Colocar uma aplicação maliciosa na Google Play Store é algo que pode ter um grande impacto, uma vez que esta plataforma é considerada o “porto seguro” para os utilizadores de dispositivos Android. No entanto, a Google também possui várias ferramentas de segurança para evitar que estas apps cheguem a ficar disponíveis para os utilizadores finais.

    Com isto em mente, uma nova tendência de negócio parece estar a ganhar terreno no campo dos cibercriminosos: existe agora quem esteja disposto a colocar apps maliciosas na Play Store… por um preço.

    De acordo com um estudo realizado pela empresa de segurança Kaspersky, existem cada vez mais serviços que prometem garantir a integração de uma app maliciosa pela Play Store da Google, com valores que podem variar entre os 2000 e 20.000 dólares.

    O esquema propaga-se sob o Telegram e sites da dark web, onde são vendidos serviços que prometem criar aplicações de malware que ocultam as suas atividades, e podem ser colocadas na Play Store para chegarem a um mais elevado número de vítimas.

    Estas aplicações podem mascarar-se de apps de antivírus, leitores de códigos QR, pequenos jogos e outros similares. Em alguns casos, existem ainda vendas de malware ofuscado, que permite fornecer aos interessados código que é consideravelmente mais difícil de ser analisado pelas medidas de proteção da Play Store.

    Alguns destes serviços prometem aos utilizadores que as apps podem permanecer na Google Play Store durante, pelo menos, uma semana ou 5000 instalações. Muitas das apps levantam imediatamente suspeitas tendo em conta as permissões requeridas, muitas das vezes consideravelmente extensas para a tarefa que é prometida.

    Em alguns casos, o código do malware possui ainda um sistema que é capaz de identificar quando a app esteja a correr num ambiente de teste – muitas vezes para análise das suas atividades ou investigações – ocultando as atividades maliciosas nessa situação.

  • Microsoft disponibilizar Patch Tuesday com importantes correções de segurança

    Microsoft disponibilizar Patch Tuesday com importantes correções de segurança

    Microsoft disponibilizar Patch Tuesday com importantes correções de segurança

    A Microsoft encontra-se a disponibilizar a nova atualização para o Windows dentro do Patch Tuesday, focada em corrigir algumas falhas de segurança recentemente identificadas no sistema operativo – tanto no Windows 10 como no Windows 11.

    Esta atualização será particularmente importante tendo em conta que corrige 97 falhas conhecidas do sistema, incluindo uma falha zero-day que se encontra a ser ativamente explorada para ataques. Além disso, sete das falhas estão classificadas como “Críticas”, por permitirem a execução remota de código potencialmente malicioso.

    A correção mais importante deste Patch Tuesday encontra-se sobre uma falha zero-day descoberta sob o driver Windows CLFS, que pode permitir aos atacantes obterem permissões de acesso como utilizadores SYSTEM, usando os mesmos para ataques.

    A falha encontra-se a ser ativamente explorada por grupos de ransomware para propagarem o malware dentro do sistema.

    Noutro ponto, apesar de não se encontrar a ser ativamente explorada, a Microsoft refere ainda ter corrigido falhas sob o Word, Publisher e Office, que poderiam permitir a execução remota de código.

    Como sempre, a atualização encontra-se disponível para os utilizadores via o Windows Update, e tendo em conta que será uma atualização de segurança, a sua instalação é certamente recomendada.

  • Microsoft corrige falha zero-day no Windows usada para ataques ransomware

    Microsoft corrige falha zero-day no Windows usada para ataques ransomware

    Microsoft corrige falha zero-day no Windows usada para ataques ransomware

    A Microsoft confirmou ter corrigido uma vulnerabilidade zero-day sobre o Windows, que afetava o Windows Common Log File System (CLFS), e estaria a ser ativamente explorada para ataques de ransomware em larga escala.

    Esta falha foi descoberta pelos investigadores Genwei Jiang da Mandiant e Quan Jin da DBAPPSecurity’s WeBin Lab, e afeta praticamente todas as versões do Windows, tanto das versões para desktop como servidores.

    A falha, se explorada, pode permitir aos atacantes executarem código no sistema sem a interação dos utilizadores, com privilégios SYSTEM – o que pode levar a que o sistema fique completamente comprometido.

    A falha encontra-se a ser ativamente explorada pelo grupo de ransomware Nokoyawa, como forma de distribuir o malware em sistemas Windows. Acredita-se que a falha estaria a ser explorada desde meados de Junho de 2022, mas apenas de forma recente a mesma foi efetivamente confirmada pelos investigadores de segurança.

    O ransomware Nokoyawa é conhecido por realizar um ataque de duas fases, onde começa por roubar dados dos sistemas infetados, antes de encriptar os mesmos. Dessa forma, caso as vítimas não paguem o resgate, os ficheiros roubados podem ser distribuídos pela dark web.

    Esta falha foi entretanto corrigida pela Microsoft, com o Patch Tuesday que se encontra disponível a partir de hoje para os sistemas Windows. Os utilizadores devem instalar esta atualização o mais rapidamente possível, através do Windows Update.

  • Campanha de malware para WordPress infetou milhares de sites desde 2017

    Campanha de malware para WordPress infetou milhares de sites desde 2017

    Campanha de malware para WordPress infetou milhares de sites desde 2017

    De forma regular, sites baseados em WordPress podem ser vítimas dos mais variados ataques, que podem comprometer a segurança e os dados dos utilizadores. Na maioria das vezes, estes ataques ocorrem porque se encontram em utilização plugins ou conteúdos desatualizados e com falhas.

    Isto é particularmente sentido em plugins, que tendem a ser uma das portas de entrada para possíveis ataques. E de acordo com os investigadores da empresa de segurança Securi, foi recentemente descoberta uma campanha de malware, focada para sites WordPress, que pode ter afetado mais de um milhão de sites diferentes.

    De acordo com os investigadores, a campanha é conhecida como Balad Injector, e pode ter-se encontrado ativa desde 2017. A mesma foca-se em explorar todo o género de falhas que existam sobre plugins no WordPress, e quando identifica as mesmas, tenta obter acesso ao site para apresentar conteúdos maliciosos ou redirecionar os utilizadores para sites de casinos online e outros similares.

    A campanha não se foca numa falha em particular, mas sim em várias. O objetivo será tentar descobrir falhas que existam sobre plugins desatualizados, explorando várias possibilidades para as mesmas.

    A maioria dos sites afetados são depois usados para o reencaminhamento dos utilizadores para plataforma de terceiros, sites de afiliados ou de casinos online. Os conteúdos do site podem ainda ser modificados para apresentar mensagens maliciosas, enganando os possíveis visitantes.

    Se explorada uma falha, esta campanha também se foca em tentar obter dados sensíveis de outros conteúdos dentro da instalação, como é o caso de registos de erros, backups e outros conteúdos.

    Por fim, quando o ataque é realizado com sucesso, este tenta também instalar um backdoor no site para permitir o acesso futuro, e até mesmo caso os conteúdos sejam removidos, o backdoor permanece oculto para permitir acessos remotos futuros para voltar a infetar o site.

    Como sempre, a principal recomendação para prevenir ataques desta campanha passa por manter os plugins de um site atualizados e evitar usar plugins que não sejam necessários – e que podem sempre abrir portas de entrada para ataques.