A Unit 42, unidade de pesquisa da Palo Alto Networks, identificou uma campanha de malspam (spam malicioso) especialmente desenvolvida para afetar vítimas brasileiras.
Usando boletos falsos para distribuir malware, criminosos podem roubar dados dos computadores das vítimas, incluindo senhas e nomes de usuários. Segundo a UNit 42, a campanha, batizada de “Boleto Mestre”, já distribuiu 261.098 e-mails desde junho.
O modo de ataque é um hiperlink disfarçado cria conexão entre o computador da vítima e um servidor usado pelos criminosos. Ao clicar, é iniciado o download de um malware do tipo Trojan. Os hosts do Windows infectados por esta campanha geram tráfego de texto simples em IRC (protocolo de comunicação utilizado para chats, bate-papo, e troca de arquivo).
Todos os hosts infectados então se juntam ao canal #MESTRE. Esse tipo de tráfego IRC é único, nunca visto antes para campanhas de malspam baseadas no Brasil. Por este motivo, a Unit 42 está chamando a campanha de “Boleto Mestre”.
Como funciona a infecção:
A vítima clica em um link do e-mail ou arquivo PDF anexado, que retorna um arquivo VBS infectado.
Na sequência, clica duas vezes no arquivo VBS (Visual Basic).
Mais arquivos são baixados para o host Windows infectado.
Tráfego de check-in inicial com link comprometido www.petr4 [.] In.
O host infectado começa a se comunicar através do IRC com a máquina do criminoso.
Antes do dia 16 de junho, o malspam Boleto Mestre tinha links no texto da mensagem de e-mail para um arquivo VBS publicado em outro lugar. No entanto, após esta data, esses e-mails mal-intencionados, passaram a incluir também anexos PDF, bem como os links, visando criar um ataque redundante.
Estes anexos PDF não têm exploits (malware em si), eles incluem um link com a mensagem “Ocorreu um erro inesperado. Clique para abrir o arquivo PDF”, como o link no corpo do e-mail que direciona para uma URL que devolve o arquivo VBS. Porém, a URL do PDF é diferente da do texto do e-mail, demonstrando o esquema de redundância para aumentar as chances de infecção do computador da vítima.
Ao clicar no link no texto da mensagem ou no do anexo PDF, o mesmo arquivo VBS é baixado. Nesse caso, os links de e-mail e PDF são redirecionados para um URL no sendpace [.] com. ento de
O Sendspace é um serviço legítimo que permite às pessoas compartilhar arquivos na web. Criminosos por trás da “Boleto Mestre” usaram outros serviços de compartilham arquivos, como Google Drive e 4shared, mas eles tendem a usar mais o Sendspace.
A URL do e-mail ou do anexo de PDF possui localização específica, ou seja, os servidores que hospedam o malware não retornam nada a menos que a vítima venha de um endereço IP no Brasil.
Para acessar o relatório completo (em inglês), os nomes dos arquivos, domínios, URLs, hashes e outras informações, visite: researchcenter.paloaltonetworks.com/2017/12/unit42-master-channel-the-boleto-mestre-campaign-targets-brazil/
ESCRITORIO CONTABIL LUMA
Contador Lucimar Morais Francisco
Fone: 3623-4782
