Phishing QBot usa o sideload da Calculadora do Windows para infectar dispositivos

Phishing QBot usa o sideload da Calculadora do Windows para infectar dispositivos
malware

Os operadores do malware QBot têm usado a Calculadora do Windows para carregar a carga maliciosa em computadores infectados. Sendo assim, a ameaça de phishing QBot usa o sideload da Calculadora do Windows para infectar dispositivos.

O carregamento lateral de DLL é um método de ataque comum que tira proveito de como as bibliotecas de vínculo dinâmico (DLLs) são tratadas no Windows. Consiste em falsificar uma DLL legítima e colocá-la em uma pasta de onde o sistema operacional a carrega em vez da legítima.

O QBot, também conhecido como Qakbot, é uma variedade de malware do Windows que começou como um trojan bancário, mas evoluiu para um dropper de malware e é usado por gangues de ransomware  nos estágios iniciais do ataque para eliminar os beacons Cobalt Strike.

Phishing QBot usa o sideload da Calculadora do Windows para infectar dispositivos

O pesquisador de segurança ProxyLife descobriu recentemente que o Qakbot vem abusando do aplicativo Calculadora do Windows 7 para ataques de carregamento lateral de DLL desde pelo menos 11 de julho. O método continua a ser usado em campanhas de spam.

Nova cadeia de infecção QBot

Para ajudar os defensores a se protegerem contra essa ameaça, a ProxyLife e os pesquisadores da Cyble documentaram a mais recente cadeia de infecção do QBot.

Os e-mails usados na campanha mais recente carregam um anexo de arquivo HTML que baixa um arquivo ZIP protegido por senha com um arquivo ISO dentro.

A senha para abrir o arquivo ZIP é mostrada no arquivo HTML e o motivo do bloqueio do arquivo é evitar a detecção do antivírus.

Anexo HTML em e-mails de spam do QBot

A ISO contém um arquivo .LNK, uma cópia de ‘calc.exe’ (Windows Calculator) e dois arquivos DLL, chamados WindowsCodecs.dll e uma carga chamada 7533.dll .

Conteúdo do arquivo ZIP

Quando o usuário monta o arquivo ISO, ele exibe apenas o arquivo .LNK, que é mascarado para parecer um PDF contendo informações importantes ou um arquivo que é aberto com o navegador Microsoft Edge.

No entanto, o atalho aponta para o aplicativo Calculadora no Windows, conforme visto na caixa de diálogo de propriedades dos arquivos.

Propriedades do arquivo PDF que desencadeia a infecção

Como funciona

Clicar no atalho aciona a infecção executando o Calc.exe por meio do prompt de comando.

Quando carregada, a Calculadora do Windows 7 automaticamente procura e tenta carregar o arquivo DLL WindowsCodecs legítimo. No entanto, ele não verifica a DLL em determinados caminhos codificados e carregará qualquer DLL com o mesmo nome se colocada na mesma pasta que o executável Calc.exe.

Os agentes de ameaças aproveitam essa falha criando seu próprio arquivo WindowsCodecs.dll malicioso que inicia o outro arquivo [numerado].dll , que é o malware QBot.

Ao instalar o QBot por meio de um programa confiável como a Calculadora do Windows, alguns softwares de segurança podem não detectar o malware quando ele é carregado, permitindo que os agentes de ameaças evitem a detecção.

Deve-se notar que essa falha de sideload de DLL não funciona mais no Windows 10 Calc.exe e posterior, e é por isso que os agentes de ameaças agrupam a versão do Windows 7.

O QBot existe há mais de uma década, com origens que remontam a 2009 [1234]. Embora as campanhas de entrega não sejam frequentes, foi observado que foi distribuído pelo botnet Emotet no passado para eliminar cargas úteis de ransomware.

Entre as famílias de ransomware que o QBot entregou estão RansomExx, Maze, ProLock e Egregor. Mais recentemente, o malware derrubou o  ransomware Black Basta.