E-mails Falsos de Pedido de Compra Usados em Ataques de Phishing com Malware

Resumo

Os atores de ameaça estão distribuindo e-mails de phishing com anexos DOCX maliciosos disfarçados como ordens de compra. Os documentos abusam do elemento altChunk para carregar um arquivo RTF malicioso, que explora uma vulnerabilidade do Editor de Equações para executar VBScript. A carga final é o SnakeKeylogger infostealer, projetado para roubar credenciais, capturar digitação e coletar outras informações sensíveis.

Investigação

O Centro de Inteligência de Segurança AhnLab (ASEC) analisou a cadeia de infecção começando com o anexo DOCX malicioso. Os pesquisadores identificaram uma sequência de execução em várias etapas envolvendo um arquivo RTF, VBScript, PowerShell e um carregador baseado em Python. A cadeia implanta, em última análise, o SnakeKeylogger, que depende de técnicas específicas de descriptografia para executar seu shellcode embutido.

Mitigação

Os usuários devem verificar os domínios dos e-mails do remetente e permanecer cautelosos ao receber anexos ou links inesperados. As organizações devem configurar o filtro de e-mail para detectar arquivos .docx suspeitos contendo elementos altChunk e monitorar a execução não autorizada do pythonw.exe ou cscript.exe. O Microsoft Office e outros softwares também devem ser mantidos atualizados contra vulnerabilidades conhecidas.

Resposta

Quando uma atividade maliciosa é detectada, isole os sistemas afetados para interromper a exfiltração de dados. Realize uma análise forense para determinar o escopo do comprometimento e identificar persistência por meio de chaves de execução no Registro. Redefina as credenciais para contas acessadas do host infectado, particularmente credenciais de navegador, e-mail e serviços financeiros.

Execução de Simulação

• Narrativa e Comandos do Ataque: Um adversário envia um e-mail de spear-phishing contendo uma falsa “Ordem de Compra” no formato DOCX. Quando a vítima abre o documento, um macro ou exploração aciona a extração de uma carga maliciosa chamada 832734.Vbs em um diretório temporário. O invasor então executa esse script via wscript.exe. Esta ação tem a intenção de estabelecer uma presença inicial e começar a coleta de credenciais usando o SnakeKeylogger infostealer. A regra de detecção deve interceptar a execução porque o nome do arquivo 832734.Vbs está presente no comando de criação de processo.

• Script de Teste de Regressão:

  # Script de simulação para replicar a execução baseada no nome de arquivo do SnakeKeylogger
  $tempPath = $env:TEMP
  $maliciousFile = Join-Path $tempPath "832734.Vbs"
  
  # Criar um arquivo VBS falso para simular a carga
  "WScript.Echo 'Simulating SnakeKeylogger Payload'" | Out-File -FilePath $maliciousFile -Encoding ascii
  
  # Executar o arquivo via wscript.exe para acionar a regra de detecção
  Start-Process "wscript.exe" -ArgumentList "`"$maliciousFile`""
  
  Write-Host "Simulação completa. Verifique os logs de segurança para criação de processo envolvendo 832734.Vbs"

• Comandos de Limpeza:

  # Limpeza: Remover o arquivo malicioso simulado
  $tempPath = $env:TEMP
  $maliciousFile = Join-Path $tempPath "832734.Vbs"
  if (Test-Path $maliciousFile) {
      Remove-Item $maliciousFile -Force
      Write-Host "Limpeza bem-sucedida: $maliciousFile removido."
  }