Inscrição para o Desastre: Como Um Clique Instala um RAT

Resumo

Criminosos cibernéticos estão usando e-mails de phishing disfarçados de convites para eventos sociais para distribuir malware. As vítimas são redirecionadas por meio de um botão falso de RSVP para uma página de verificação CAPTCHA e, em seguida, para um site de download malicioso. O ataque, no final das contas, instala um Cavalo de Troia de Acesso Remoto (RAT), dando aos atacantes controle extenso sobre o dispositivo comprometido.

Investigação

O Cofense Phishing Defense Center identificou uma campanha que depende de engenharia social vaga e baseada em curiosidade. Pesquisadores descobriram um fluxo de infecção em várias etapas que utiliza uma página CAPTCHA hospedada em um domínio recém-registrado e não identificado para criar uma falsa sensação de legitimidade. A carga final é um aplicativo legítimo de suporte remoto abusado para acesso malicioso.

Mitigação

As organizações devem fornecer treinamento aos funcionários focado em reconhecer técnicas de engenharia social envolvendo iscas de e-mail vagas, urgentes ou baseadas em curiosidade. As defesas técnicas devem incluir gateways de segurança de e-mail que bloqueiem URLs suspeitos e monitoramento de ferramentas de acesso remoto não autorizadas. A proteção de endpoint também deve sinalizar software legítimo quando executado em contextos suspeitos ou inesperados.

Resposta

Quando atividade maliciosa é detectada, isole imediatamente o host afetado da rede para evitar acesso não autorizado contínuo. Realize uma investigação forense abrangente para determinar o escopo do comprometimento e identificar potenciais exfiltrações de dados. Reinicie as credenciais dos usuários afetados e revise os logs do sistema em busca de conexões não autorizadas, mecanismos de persistência ou outras atividades suspeitas.

Execução de Simulação

• Narrativa do Ataque & Comandos: O adversário inicia um ataque de spearphishing, enviando um e-mail com um link para um falso “Convite para Evento”. Ao clicar, o usuário é convidado a baixar um arquivo. Nesta simulação, simulamos a fase final onde o usuário executa o arquivo baixado ScreenConnect.ClientSetup.exe. O objetivo é estabelecer um ponto de acesso remoto. A execução deste nome de arquivo específico acionará o alerta de alta severidade.

• Script de Teste de Regressão:

  # Script de Simulação: Acionar Detecção de ScreenConnect
  # Nota: Estamos criando um arquivo fictício com o nome alvo para simular a execução
  # sem realmente instalar um software potencialmente malicioso.
  
  $targetName = "ScreenConnect.ClientSetup.exe"
  $tempPath = Join-Path $env:TEMP $targetName
  
  Write-Host "[+] Criando arquivo fictício: $tempPath"
  New-Item -Path $tempPath -ItemType File -Force
  
  Write-Host "[+] Simulando execução de $targetName..."
  # Usando Start-Process para gerar um evento de Criação de Processo (Evento ID 1 / 4688)
  Start-Process -FilePath $tempPath -WindowStyle Hidden -ErrorAction SilentlyContinue
  
  Write-Host "[+] Comando de simulação completo. Verifique o alerta no SIEM."

• Comandos de Limpeza:

  # Script de Limpeza
  $targetName = "ScreenConnect.ClientSetup.exe"
  $tempPath = Join-Path $env:TEMP $targetName
  
  if (Test-Path $tempPath) {
      Remove-Item -Path $tempPath -Force
      Write-Host "[+] Arquivo fictício limpo: $tempPath"
  } else {
      Write-Host "[-] Arquivo fictício não encontrado. Nada para limpar."
  }