Verificação de captcha estranha ao acessar sites

[vap25]

Fiz ela e estou com medo de ter sido hackeado.

 

preciso ati0nginr o limite de palavas jesus america odonto linguagem

[Tiberio]

@vap25 Qual seria esse site que você está acessando?

Olhando na barra de  endereço parece ser um site suspeito…

[Rio McCloud]

@vap25 Boa noite! Isso daí com certeza é malware, mas é simples identificar o que ele fez: ao clicar no botão de verificação, ele escreveu algum conteúdo na sua área de transferência. Depois, ele exibiu essa mensagem, pedindo pra você abrir o Executar do Windows, colar o que está copiado no momento e dar OK.

 

O conteúdo da sua área de transferência muito provavelmente é um comando de PowerShell que vai carregar malware a partir de um site externo e infectar a máquina. Se você não seguiu as instruções, não se preocupe, você está limpo. Feche a guia e mantenha seu antivírus atualizado - é possível ver que o Microsoft Defender está com um ícone de alerta, verifique quais são os assuntos pendentes e resolva.

[Rio McCloud]

3 horas atrás, Rio McCloud disse:

O conteúdo da sua área de transferência muito provavelmente é um comando de PowerShell que vai carregar malware a partir de um site externo e infectar a máquina.

 

Na mosca: testei em um ambiente isolado e ele executou um comando de PowerShell, sem sequer pedir permissão do Controle de Conta do Usuário, e usou toda a CPU por alguns minutos. Depois parou, mas continuou rodando em segundo plano, e o primeiro sintoma foi o navegador Edge não abrir mais. O Microsoft Defender não neutralizou o malware.

 

Subi o arquivo para o VirusTotal e alguns poucos antivírus detectaram o arquivo, enquanto o site só o Kaspersky detectou.

 

[Linio Alan]

Qual variante/tipo de malware acusou lá no VT @Rio McCloud?

[Rio McCloud]

@Linio Alan Cavalo de troia.

[Linio Alan]

Entendi, mas achei que haveria uma identificação mais precisa do malware. Fiquei curioso pra saber se é uma variante predominante do Brasil ou de outras localidades, estou vendo muito usarem técnicas DLL sliding e obfuscation para não levantar suspeita de AVs (evasion), mas como outros AVs já tem a assinatura de payload malicioso e o Defender não detectou seria interessante saber a variante exata até para alertar sobre quais medidas de mitigação tomar, principalmente para quem tem somente o Defender no sistema.

[mick 07]

19 horas atrás, Rio McCloud disse:

Subi o arquivo para o VirusTotal

Não tem o link aí?

[Rio McCloud]

@Linio Alan @mick 07 Aqui os links para a URL com o arquivo .mp4 falso, e o próprio arquivo. Não tive muito tempo pra "brincar" com ele, mas o arquivo é baixado e executado através do próprio mshta do Windows.

• URL: https://www.virustotal.com/gui/url/de51c915dbbbffb13afd87da719f27ff690aa36da6f15cc563390568ef9f6785
• Arquivo: https://www.virustotal.com/gui/file/7161333af917766e2a531c8e52559011d5db2bca43cc7b610cf107b96dbf5bb3

Aparentemente o Microsoft Defender agora detecta o arquivo, mas aqui não funcionou. Talvez seja pelo módulo comportamental.

[Linio Alan]

@Rio McCloud obrigado pelo trabalho que você fez, no momento eu não conseguiria rodar um sandbox como você fez, além de um Threat Inteligence que, ao que tudo indica, nesta cepa "Wacatac.[.]H![.]ml" ter o poder de preceder outros ataques críticos, as ocorrências mais prevalentes que encontrei foram no sentido de roubo de credenciais e dados pessoais mesmo, aliado à isso também pude verificar uma compatibilidade enorme com outro malware que faz praticamente exatamente o que o @vap25 mostrou aqui, o que me refiro é o Lumma Stealer

 

 

 

O melhor remédio para usuário final, neste caso, é manter todos os programas e o sistema atualizados, ter instalados e devidamente atualizados seu esquema de Antivírus e AntiMalware, capazes de detectar o Lumma. O próprio Windows Defender tem essa capacidade, porém esse malware de tempos em tempos recebe atualizações que o confere capacidade de se evadir mesmo das melhores soluções de segurança, mesmo as corporativas.

 

Este malware vem "fazendo a festa" no Brasil, com uma infinidade de vetores de infecção sendo exploradas ativamente, como downloads via torrents, Instagram, Telegram, Github e até o YouTube via links maliciosos.

 

O cuidado REDOBRADO ao se clicar em links precisa ser tomado, como vemos, nem sempre os programas de segurança conseguirão detectar o malware, então propagar a cyber higienização e educação precisam ser reforçados.