Três novos malwares: ScarletStealer, Acrid e uma forma atualizada do Sys01 tem atuação massificada no Brasil.
O primeiro citado já foi detectado mais de 100 vezes no Brasil neste ano, fazendo o país o segundo mais atacado pelo malware – atrás apenas da China. Ele é conhecido também como “CryptoSwap” e está direcionado principalmente a clientes de carteiras de criptomoedas.
Como atuam os Malwares?
ScarletStealer
O ScarletStealer teve sua segunda maior detecção no Brasil, com 123 bloqueios somente neste ano. O malware atua em dois estágios: o primeiro é feito logo após a infecção inicial e basicamente é um scan do sistema para identificar a existência de determinadas estruturas de pastas que indicam a existência de carteiras digitais – que é o foco desse malware. Caso sejam encontradas, o próprio malware baixa um segundo módulo que será responsável por realizar o roubo das criptomoedas.
O malware é subdesenvolvido em termos de funcionalidade e contém muitos erros, falhas e códigos redundantes. Um exemplo de redundância é a criação de chaves de registros para execução automática do próprio programa malicioso – assim a infecção é refeita sem a necessidade de uma nova ação do criminoso. Apesar de suas deficiências, as vítimas do ScarletStealer se estendem por todo o mundo, com concentrações na China, Brasil, Turquia e EUA.
Acrid
O Acrid é escrito para o sistema operacional de 32 bits, apesar da maioria dos sistemas atuais serem de 64 bits. Após uma inspeção mais detalhada do malware pelos especialistas da Kaspersky, o motivo da compilação para um ambiente de 32 bits ficou claro: o autor decidiu usar a técnica “Heaven’s Gate”, que permite que aplicativos de 32 bits acessem o espaço de 64 bits para contornar determinados controles de segurança e afetar o maior número possível de máquinas.
Em termos de funcionalidade, o malware incorpora o que se espera de um stealer: roubar dados do navegador (cookies, senhas, dados de login, informações de cartão de crédito etc.), carteiras locais de criptomoedas, arquivos específicos e credenciais de aplicativos instalados. Embora moderadamente sofisticado, com criptografia de cadeia de caracteres, o Acrid carece de recursos inovadores.
Sys01
O terceiro malware mais predominante é o anteriormente conhecido como Álbum Stealer ou S1deload Stealer. O Sys01 é um stealer relativamente desconhecido e que existe desde, pelo menos, 2022. Seu método de infecção é atrair usuários a baixarem arquivos ZIP maliciosos disfarçados de conteúdo adulto, por meio de uma página do Facebook. roubando dados do navegador, possuindo também funções de backdoor, podendo fazer o download e executar arquivos específicos. As vítimas desta campanha foram encontradas em todo o mundo, mas a maioria delas estava localizada na Argélia (pouco mais de 15%).
“Há um insaciável interesse dentro do submundo do crime por ferramentas que facilitam o roubo de dados. Com o potencial de consequências terríveis, como perdas financeiras e violações de privacidade, é importante que pessoas e organizações permaneçam vigilantes e adotem medidas proativas de cibersegurança.