Alerta de Segurança: Proteja-se Contra Ataques de Phishing no WhatsApp

Nos últimos dias, diversos ataques de phishing foram identificados, utilizando arquivos maliciosos distribuídos por meio de mensagens no WhatsApp. Abaixo, detalhamos os padrões e as estratégias utilizadas pelos atacantes, além das medidas de segurança recomendadas para proteger seu ambiente.

Padrões dos Ataques de Phishing

Arquivos Maliciosos

Os ataques se utilizam de arquivos compactados no formato ZIP com nomes como:

• NomeBancoComprovante-XXX.XXX.zip
• ComprovanteNomeBanco-XXX.XXXXX.zip

Comportamento dos Arquivos

• As mensagens de phishing geralmente não contêm texto adicional. Apenas o arquivo malicioso é enviado para download, com o objetivo de evitar detecção.
• Quando descompactados, os arquivos contêm scripts executáveis via PowerShell, que tentam se conectar a URLs maliciosas, como:
  • ampslx.rosaebrain.com
  • ioiosh.rosaebrain.com/msrvrpfxwhykl
  • eeuqjb.pinkeosemrabo.com/ilptbcszbnlmn

Objetivo

Realizar o download de códigos maliciosos diretamente na memória do sistema, evitando a criação de arquivos visíveis no disco e dificultando a detecção.

Modus Operandi dos Ataques

1. Ocultação e Persistência:
   • Os scripts são configurados para operar discretamente, com parâmetros como -w hid (ocultação de janela) e -ep Bypass (bypass de políticas de execução).
2. Conexão Remota:
   • Ao serem executados, os scripts tentam se conectar às URLs maliciosas para realizar o download e execução de códigos prejudiciais.
3. Evasão de Detecção:
   • A execução direta na memória do sistema impede a criação de rastros no disco rígido, dificultando a análise posterior.

Recomendações de Segurança

Educação e Prevenção

✅ Evite arquivos suspeitos: Não abra arquivos recebidos por fontes desconhecidas, especialmente se compactados, sem qualquer explicação ou mensagem adicional.
✅ Exclua arquivos maliciosos: Caso identifique qualquer arquivo suspeito, como os mencionados anteriormente, apague-os imediatamente.
✅ Bloqueio de URLs: Reforce sua segurança bloqueando domínios maliciosos conhecidos, como:

• ampslx.rosaebrain.com
• ioiosh.rosaebrain.com/msrvrpfxwhykl
• eeuqjb.pinkeosemrabo.com/ilptbcszbnlmn

✅ Varredura Completa: Realize verificações completas nos dispositivos envolvidos para identificar qualquer vestígio ou conexão maliciosa.

Comportamento Adicional do Malware

Um comportamento adicional foi identificado no malware, envolvendo a instalação de uma extensão nos navegadores. Esse módulo monitora o acesso ao WhatsApp Web e, assim que o usuário faz login, a extensão propaga automaticamente o malware para todos os contatos da vítima no WhatsApp.

Com base nessa análise, acreditamos que um número significativo de contas já foi comprometido, o que contribui para a disseminação do ataque. Contas infectadas estão, provavelmente, espalhando o malware entre seus contatos.

Conclusão

Embora alguns fabricantes de segurança já estejam bloqueando essas tentativas, reforçamos a importância de implementar as medidas recomendadas para proteger seu ambiente contra ataques semelhantes.

Se precisar de mais informações ou suporte adicional, não hesite em nos contatar. Clique aqui.