Cibercriminosos estão se aproveitando de sites falsos que imitam a página oficial do Google Chrome para distribuir um perigoso trojan de acesso remoto (RAT) chamado ValleyRAT. Essa técnica explora o sequestro de DLL para comprometer sistemas, especialmente em regiões de língua chinesa, como China continental, Taiwan e Hong Kong.
Hackers usam sites falsos do Chrome para espalhar ValleyRAT
O que é o ValleyRAT?
O ValleyRAT foi detectado inicialmente em 2023 e é atribuído ao grupo de hackers conhecido como Silver Fox. Esse malware tem sido utilizado em campanhas que miram profissionais em setores estratégicos, como financeiro, contábil e vendas. O objetivo é comprometer dispositivos de indivíduos com acesso a informações sensíveis.
As primeiras campanhas distribuíram o ValleyRAT junto com outras ameaças conhecidas, como Purple Fox e Gh0st RAT, este último amplamente utilizado por hackers chineses. Recentemente, hackers também utilizaram instaladores falsificados de softwares populares para disseminar o malware através de um carregador de DLL chamado PNGPlug.
Como funciona o ataque
A tática mais recente dos cibercriminosos envolve um site falso do Google Chrome, projetado para enganar usuários e levá-los a baixar um arquivo ZIP contendo um executável chamado “Setup.exe”. Ao ser executado, o programa verifica se possui permissões de administrador e, caso positivo, baixa outras quatro cargas maliciosas.
Entre esses arquivos, destaca-se um executável legítimo do Douyin (versão chinesa do TikTok), chamado “Douyin.exe”, que serve para carregar uma DLL corrompida (“tier0.dll”). Esse processo permite que o ValleyRAT seja executado sem levantar suspeitas. Além disso, outra DLL chamada “sscronet.dll” é carregada para encerrar processos que possam interferir na execução do malware.
Funções do ValleyRAT
Desenvolvido em C++ e compilado em chinês, o ValleyRAT possui um conjunto avançado de recursos, incluindo:
Notícias Relacionadas
Alerta Microsoft
Microsoft alerta sobre ataques de malware explorando ViewState no ASP.NET
A Microsoft identificou ataques de malware explorando chaves de segurança do ASP.NET encontradas online. Essas chaves comprometidas permitem que invasores executem código remotamente em servidores IIS. A empresa recomenda a geração segura de chaves e a adoção de medidas de segurança para mitigar riscos.
Segurança digital
Hackers norte-coreanos usam falsas entrevistas de emprego para espalhar malware FERRET no macOS
Hackers norte-coreanos estão usando entrevistas de emprego falsas para distribuir o malware FERRET no macOS. O ataque se inicia pelo LinkedIn e explora vulnerabilidades em softwares de videoconferência, permitindo roubo de dados e comprometimento de sistemas.
- Monitoramento de tela e captura de informações;
- Registro de pressionamentos de tecla (keylogging);
- Persistência no sistema infectado;
- Comunicação com servidores remotos para execução de comandos, download e execução de outros arquivos maliciosos.
Os hackers se aproveitam de executáveis legítimos vulneráveis ao sequestro de ordem de pesquisa de DLL para injetar suas cargas maliciosas. Essa técnica permite que o malware opere sem ser detectado facilmente por soluções de segurança convencionais.
Phishing com arquivos SVG
O surgimento dessa nova campanha acontece em um momento em que pesquisadores da Sophos identificaram ataques de phishing utilizando arquivos Scalable Vector Graphics (SVG). Esses arquivos estão sendo explorados para contornar mecanismos de detecção e distribuir keyloggers baseados em AutoIt, como o malware Nymeria. Além disso, tais técnicas têm sido usadas para redirecionar usuários para sites de roubo de credenciais.
Como se proteger
Diante dessa ameaça crescente, algumas medidas podem ser adotadas para evitar infecções pelo ValleyRAT:
- Sempre baixe software de fontes oficiais e verifique URLs suspeitas;
- Evite abrir arquivos executáveis de fontes desconhecidas;
- Utilize soluções de segurança que detectem atividades suspeitas relacionadas a DLLs;
- Mantenha seu sistema operacional e programas sempre atualizados para reduzir vulnerabilidades exploradas por atacantes.
A cibersegurança continua sendo um desafio constante, e novos métodos de ataque surgem frequentemente. Ficar atento a essas técnicas e reforçar as práticas de segurança digital são essenciais para minimizar os riscos.
