Malware para ataque de ransomware retorna com força total tendo impactado mais de 4% das organizações no Brasil

O Trickbot é o malware mais atuante, voltando a liderar a lista mensal de ameaças tanto a nível global como no ranking do Brasil. Pelo menos é isso o que aponta a nova pesquisa Top Malware de setembro que foi divulgada pela empresa de segurança cibernética Check Point. Os pesquisadores relataram que o Trickbot voltou ao topo da lista, após ter “reinado” por três meses consecutivos (de maio a julho de 2021) e caído para o segundo lugar em agosto.

O Trickbot é um cavalo de Troia bancário que pode roubar credenciais financeiras e de contas, bem como as informações de identificação pessoal, além de se espalhar em uma rede e lançar um ransomware (este malware é frequentemente usado nos estágios iniciais de ataques de ransomware). Desde a queda do Emotet em janeiro deste ano, o malware Trickbot ganhou popularidade. Ele é constantemente atualizado com novos recursos, mais capacidades e vetores de distribuição, o que permite que seja um malware flexível e personalizável que pode ser distribuído como parte de campanhas multifuncionais.

Malware para ataque de ransomware retorna com força total tendo impactado mais de 4% das organizações no Brasil

No mesmo mês em que o Trickbot se tornou novamente o malware mais difundido, um dos membros da gangue do Trickbot foi preso como resultado de uma investigação nos Estados Unidos, informa Maya Horowitz, vice-presidente de Pesquisa da Check Point Software Technologies. Além de outras acusações que foram feitas este ano no combate contra este malware, acreditamos que o domínio do seu grupo será reduzido em breve. Mas, como sempre, ainda há um longo caminho a ser percorrido.

“Na semana passada, nossos pesquisadores relataram que há 40% mais ataques semanais a organizações em 2021 em comparação com 2020 globalmente, mas a maioria deles, se não todos, poderia ter sido evitada. As organizações não devem demorar em adotar, em primeiro lugar, uma abordagem de prevenção para a segurança cibernética”, alerta Maya Horowitz. No Brasil, os pesquisadores da Check Point Research verificaram um aumento de 62% nos ataques cibernéticos semanais em 2021, em comparação com 2020 (967 ciberataques por semana em média), enquanto observaram também um aumento de 8% em ataques por ransomware em 2021.

Com relação ainda ao Índice Global de Ameaças referente ao mês de setembro, a CPR apontou o ingresso do cavalo de Troia de acesso remoto, njRAT, no Top 10 da lista pela primeira vez, ocupando o lugar do malware Phorpiex, o qual não está mais ativo.

Principais famílias de malware

Em setembro, o Trickbot foi o malware mais popular com um impacto global de 4% das organizações, seguido pelo Formbook e XMRig, sendo que cada um afetou 3% das organizações em todo o mundo.

•  Trickbot – É um trojan bancário dominante, constantemente atualizado com novos recursos e vetores de distribuição, permitindo que seja um malware flexível e personalizável que pode ser distribuído como parte de campanhas multifuncionais.
• Formbook – É um “ladrão” de informações que coleta credenciais de vários navegadores da web e imagens, monitora e registra pressionamentos de tecla e pode baixar e executar arquivos de acordo com seus pedidos de C&C.
•  XMRig – É um software de mineração de CPU de código aberto usado para o processo de mineração da criptomoeda Monero e visto pela primeira vez em maio de 2017.

Principais vulnerabilidades exploradas

Em setembro, a equipe da CPR também revelou que a vulnerabilidade mais comum explorada foi a “Web Server Exposed Git Repository Information Disclosure”, afetando 44% das organizações globalmente, seguida pela “Command Injection Over HTTP”, que impactou 43% das organizações no mundo todo. A vulnerabilidade “HTTP Headers Remote Code Execution” ocupou o terceiro lugar na lista de vulnerabilidades mais exploradas, com um impacto global de 43%.

Web Server Exposed Git Repository Information Disclosure – a vulnerabilidade de divulgação de informações foi relatada no Repositório Git. A exploração bem-sucedida desta vulnerabilidade pode permitir a divulgação não intencional de informações da conta.

Command Injection Over HTTP – Um atacante remoto pode explorar uma vulnerabilidade de injeção de comando HTTP enviando uma solicitação especialmente criada à vítima. Se for bem-sucedida, essa exploração permitiria que um atacante executasse um código arbitrário no computador de um usuário.