Tem certeza de que seu navegador está atualizado? Fique por dentro das atualizações falsas dos navegadores

A Proofpoint Inc, está rastreando atualmente ao menos quatro grupos diferentes de ameaças que usam atualizações falsas de navegadores de internet para distribuir malwares. Esses updates maliciosos aparecem em sites que exibem algo similar a uma notificação de browsers, como Chrome, Firefox ou Edge, informando que o software precisa ser atualizado. Ao clicar no link, o usuário não baixa uma atualização legítima, mas, sim, um malware.

“Os pesquisadores da Proofpoint identificaram um número crescente de agentes de ameaças que usam atualizações falsas de navegador para induzir as pessoas a baixar malware”, disse Dusty Miller, pesquisador de ameaças da Proofpoint. “O uso de atualizações falsas de navegador é uma ameaça interessante que combina recursos técnicos exclusivos com engenharia social para convencer as pessoas de que seu navegador está desatualizado. A falsa isca de atualização do navegador pode levar a uma variedade de malware que pode roubar dados, controlar remotamente um computador ou até mesmo levar a ransomware. O uso de atualizações falsas do browser está se tornando popular, provavelmente porque funciona. A ameaça explora o desejo de uma pessoa de proteger seu ambiente e suas informações, mas faz exatamente o oposto e expõe o indivíduo desavisado a malware.”

Com base na pesquisa da empresa, o agente de ameaça conhecido como TA569 usou atualizações falsas por mais de cinco anos para entregar o malware SocGholish, mas recentemente outros atores de ameaças têm copiado essa mesma estratégia. Cada um deles utiliza de métodos próprios para “fisgar” usuários, mas aproveitam das mesmas táticas de engenharia social. O uso de atualizações falsas é único porque se aproveita da confiança que os usuários finais depositam em seus navegadores e nos sites conhecidos que visitam.

Os agentes de ameaças que controlam as atualizações falsas usam um código injetado em JavaScript ou HTML que direciona o tráfego para um domínio que eles controlam, o que pode, potencialmente, substituir o site por uma isca de atualização específica para o navegador que a possível vítima usa. Uma carga maliciosa será baixada automaticamente ou o usuário receberá uma solicitação para baixar uma “atualização”, que instalará a carga.

Efetividade da atualização falsa dos browsers

As falsas iscas de atualização do navegador são eficazes porque os agentes da ameaça estão usando o treinamento de segurança do usuário final contra eles. No treinamento de conscientização sobre segurança, os usuários são orientados a aceitar apenas atualizações ou clicar em links de sites conhecidos e confiáveis, ou de indivíduos, e para verificar se os sites são legítimos. As atualizações falsas se aproveitam desse treinamento, pois comprometem sites confiáveis e usam solicitações feitas em JavaScript para verificar em segundo plano e substituir discretamente o site existente por um falso. Para um usuário final, ainda parece ser o mesmo site que ele pretendia visitar, mas que, agora, está solicitando que atualize seu navegador.

A Proofpoint identificou os agentes de ameaça, mas não detectou os mesmos enviando e-mails contendo links maliciosos, mas, devido à natureza da ameaça, URLs comprometidas são observadas no tráfego de e-mail de diversas maneiras. São vistos, por exemplo, no tráfego normal de e-mail por usuários finais que não têm conhecimento dos sites comprometidos, no monitoramento de e-mails, como alertas do Google, ou em campanhas de e-mail automatizadas em massa, como aquelas que distribuem boletins informativos. Isso cria um cenário em que esses e-mails são considerados maliciosos durante o tempo em que o site está comprometido.

As organizações não devem tratar as falsas ameaças de atualizações do navegador apenas como um problema de e-mail, pois os usuários podem visitar o portal a partir de outra fonte, como um mecanismo de pesquisa, redes sociais, ou simplesmente acessar direto o site, receber a isca e fazer o download.

Cada campanha filtra o tráfego de maneira diferente com o objetivo de ocultá-lo dos pesquisadores e atrasar a descoberta, mas todos os métodos são eficazes durante a filtragem. Embora isto possa reduzir a propagação de cargas maliciosas, também permite que os intervenientes mantenham o seu acesso aos sites comprometidos por períodos de tempo mais longos. Isto pode complicar a resolução, porque com as múltiplas campanhas e as cargas úteis variáveis, os respondentes devem reservar algum tempo para descobrir o que precisam procurar e identificar os indicadores de comprometimento (IOCs) relevantes no momento do download.

As campanhas

O cenário atual inclui quatro grupos de ameaças diferentes que usam campanhas exclusivas para fornecer iscas falsas de atualização de navegador. Devido à semelhança das iscas e da cadeia de ataque, alguns relatórios públicos atribuíram incorretamente a atividade ao mesmo grupo de ameaças. Com base na visibilidade diferenciada da Proofpoint, os pesquisadores conseguiram dividi-los em clusters mais granulares.

A pesquisa da Proofpoint se concentra no cenário geral de atualizações falsas de navegadores, para fornecer detalhes sobre como identificar cada campanha, assim como os links adicionais para relatórios adicionais da empresa ou de terceiros contendo pesquisas e análises aprofundadas. Por exemplo, Jérôme Segura, da Malwarebytes, reuniu um bom recurso mostrando algumas das imagens que cada campanha usa como iscas no GitHub.

Cada campanha tem algumas características gerais compartilhadas que podem ser descritas como três fases distintas da campanha. O “Estágio 1” é uma injeção maliciosa em um site legítimo, mas comprometido. “Estágio 2” refere-se ao tráfego de e para o domínio controlado pelo ator que faz a maior parte da filtragem e hospeda a isca e a carga maliciosa. “Estágio 3” é a execução da carga útil em um host após o download.

SocGholish

O SocGholish é a principal ameaça que as pessoas pensam quando falam sobre uma falsa isca de atualização de navegador e tem sido bem documentada ao longo dos anos. A Proofpoint, normalmente, atribui as campanhas SocGholish a um ator de ameaça conhecido como TA569. A companhia observou que ele atua como distribuidor para outros atores de ameaças. Atualmente, o TA569 está usando três métodos diferentes para direcionar o tráfego dos sites comprometidos no estágio 1 para seus domínios ocultos no estágio 2 por eles controlados.

O primeiro método é usar uma injeção que utiliza o sistema de distribuição de tráfego Keitaro (TDS) por meio de uma variedade de domínios controlados. Esses domínios filtrarão algumas solicitações antes de roteá-las para os destinos do estágio 2. A maioria das injeções que apontam para URLs TDS do Keitaro conterão vários domínios de redirecionamento diferentes no mesmo arquivo, conforme visto na figura 2 abaixo.

O segundo método que o TA569 usa é o Parrot TDS (também conhecido como NDSW/NDSX) para ofuscar seu código injetado e aplicar filtragem semelhante antes de rotear solicitações para os domínios do estágio 2. Sites comprometidos podem conter até 10 arquivos JavaScript maliciosos, todos com injeções de Parrot TDS que levam a cargas SocGholish. O terceiro método usado pelo TA569, é uma simples solicitação de script assíncrono de JavaScript no HTML de sites comprometidos que alcança um domínio de estágio 2.

A variedade de injeções torna difícil para os defensores identificarem a localização da injeção maliciosa e reproduzirem o tráfego devido aos vários estágios de filtragem.

Cada um desses métodos alcança um domínio de estágio 2, que faz filtragem adicional e entrega a isca falsa de atualização do navegador e a carga útil ao tráfego que passa pela filtragem. A carga útil pode ser um arquivo JavaScript simples (.js), geralmente denominado “Update .js”, ou um arquivo JavaScript compactado.

Se a carga útil for executada pelo usuário, ela primeiro reproduzirá a impressão digital do host via wscript. Dependendo dos resultados da impressão digital, o JavaScript será encerrado, carregará um trojan de acesso remoto (RAT) ou aguardará mais comandos do agente da ameaça, que foi relatado que levou ao CobaltStrike ou ao BLISTER Loader, que são diferentes tipos de malware.