Nos últimos meses, aumentaram os relatos de ataques direcionados a usuários do sistema Windows por meio do framework Winos4.0, um conjunto de ferramentas maliciosas de pós-exploração. A abordagem começa pela distribuição disfarçada em aplicativos relacionados a jogos, que parecem legítimos, mas trazem embutidos componentes maliciosos.
Hackers intensificam ataques com o Winos4.0 em sistemas Windows
Este toolkit é comparável aos frameworks Sliver e Cobalt Strike, conhecidos por suas capacidades de pós-exploração, conforme documentado pela Trend Micro em relatório recente que destaca campanhas focadas em usuários chineses. Um grupo de hackers, rastreado como Void Arachne/Silver Fox, tem atraído vítimas oferecendo versões modificadas de software popular, como VPNs e navegadores, adaptadas para o mercado chinês, mas contendo o componente malicioso.
Evolução da Ameaça: Foco em Jogos e Arquivos Relacionados
Recentemente, a Fortinet, uma empresa de segurança cibernética, relatou uma evolução nas atividades associadas ao Winos4.0, apontando que agora hackers estão explorando aplicativos de jogos e arquivos relacionados para atingir usuários chineses. Ao executar instaladores aparentemente legítimos, uma DLL (you.dll) é baixada de “ad59t82g[.]com”, iniciando um processo de infecção em várias etapas.
Etapas do Processo de Infecção
- Primeira Etapa: A DLL inicial baixa arquivos adicionais e configura o ambiente, inserindo entradas no Registro do Windows para estabelecer persistência no sistema infectado.
- Segunda Etapa: Códigos maliciosos executam APIs e recuperam dados de configuração, conectando o sistema ao servidor de comando e controle (C2).
- Terceira Etapa: Um módulo adicional baixa mais dados codificados e atualiza endereços do servidor C2 no Registro do Windows em “HKEY_CURRENT_USER\Console\0”.
- Quarta Etapa: O módulo de login realiza ações principais, como:
- Coleta de informações do sistema e ambiente (IP, detalhes do sistema operacional, CPU).
- Detecção de antivírus e softwares de monitoramento no sistema.
- Busca por dados específicos, como extensões de carteira de criptomoedas usadas pela vítima.
- Manutenção de uma conexão persistente com o servidor C2, permitindo que o hacker emita comandos e colete informações adicionais.
- Exfiltração de dados, incluindo capturas de tela e documentos, além de monitoramento de mudanças na área de transferência.
Notícias Relacionadas
Malware avançado
SteelFox: novo malware invade PCs Windows com driver vulnerável
SteelFox é um malware recente que usa um driver vulnerável para obter acesso total ao sistema Windows, minerar criptomoedas e roubar dados sensíveis, incluindo cartões de crédito.
Malware em jogos
Novo malware foca em aplicativos de otimização de jogos para infectar usuários
Malware Winos 4.0 usa aplicativos de otimização de jogos para infectar sistemas, explorando estratégias avançadas de infecção e controle remoto.
Defesa Contra o Winos4.0
Para evitar a detecção, o Winos4.0 verifica se há ferramentas de segurança ativas no sistema, incluindo soluções como Kaspersky, Avast, Malwarebytes, e ESET, entre outras. Caso identifique a presença de qualquer uma dessas ferramentas, o malware ajusta seu comportamento ou interrompe a execução.
Segundo a Fortinet, o Winos4.0 se consolidou como uma ferramenta robusta e versátil para controlar sistemas comprometidos, rivalizando com frameworks como Cobalt Strike e Sliver. O relatório fornece indicadores de comprometimento (IoCs) que ajudam a identificar sistemas afetados.
