Situação atual
Os pesquisadores tiveram uma surpresa desagradável há duas semanas, após o lançamento do primeiro relatório Cisco sobre a campanha de distribuição de anúncios maliciosos, segundo o qual a rede de malvertising de Kyle e Stan tem alcance aproximadamente nove vezes maior do que o primeiro relatado. Os pesquisadores tiveram a chance de olhar para os dados de telemetria fornecidos e, dessa forma, eles descobriram que quase 6500 domínios maliciosos estiveram envolvidos. Isso é aproximadamente nove vezes mais do que o número original de 703 domínios maliciosos que foram originalmente relatados. O relatório da Cisco revelou ainda que o número de conexões feitas a esses domínios é 31 000, que é mais de três vezes do originalmente relatado 9 541 conexões.
Os pesquisadores
Dois dos pesquisadores da rede de malvertising de Kyle e Stan, Armin Pelkmann e Craig Williams, rastreou o ataque até 2012 e descobri que está ativo há muito mais tempo do que foi relatado pela primeira vez.
→‘Achamos que foi uma campanha razoavelmente bem-sucedida [para o atacante],’ Williams disse, ‘Os números correspondem ao número de vezes que um ataque foi detectado e bloqueado por um dispositivo de segurança Cisco. Considerando o número de vezes que o vimos, pensamos que é significativo.’
Os ataques da rede de malvertising de Kyle e Stan
o rede de malvertising de Kyle e Stan é diferente de outras redes de malware do mesmo tipo de duas maneiras - primeiro, tem sido capaz de colocar anúncios em sites muito grandes e populares como a Amazon; e em segundo lugar, a rede tem certos tipos de malware para Mac OS X e Windows.
De acordo com os pesquisadores de malware, quando uma certa vítima está comprometida, um giro único no malware atinge a máquina e cada giro tem diferenças sutis em sua embalagem, que resulta em uma geração de checksum MD5 exclusivo. Quando a vítima visita um site que hospeda esse tipo de anúncio malicioso, o navegador da vítima é redirecionado duas vezes. Os usuários de Mac e Windows são direcionados a uma URL que hospeda um malware feito sob medida para cada plataforma. Quando o malware atinge o URL final de download, sequestrador de navegador ou spyware, ele é baixado automaticamente para a máquina que está comprometida ou o usuário do PC é levado a instalá-lo, pois vem junto com um software legítimo, como um reprodutor de mídia.
Como funciona a rede de malvertising de Kyle e Stan
Os pesquisadores de malware reverteram os arquivos de malware para descobrir que há uma parte única em cada arquivo, o que torna a soma de verificação de computação absolutamente diferente. Isso significa que a rede de malvertising de Kyle e Stan usa técnicas sofisticadas para armazenar e bagunçar os dados que estão disponíveis no site. Este método é usado pelos criminosos cibernéticos para enganar o sistema antivírus no computador e os outros sistemas de detecção que são usados.
A campanha de malvertising da rede Kyle e Stan é muito bem-sucedida quando o invasor consegue obter um anúncio malicioso na rede hospedando legitimamente um anúncio e pagando uma rede para distribuí-lo ou comprometendo um host que veicula anúncio, o invasor pode desenvolver uma campanha muito rápida, do que quando o malware é distribuído por meio de e-mails de phishing ou spam.
O futuro do malware
Os pesquisadores de malware dizem que a rede de malvertising de Kyle e Stan é um exemplo da próxima evolução do malware. É caracterizado pela incorporação nos sites, o que dá resultados muito bons. Por exemplo, mesmo que apenas 1% dos visitantes do site vejam o anúncio, isso significa uma taxa de sucesso maior do que aquela resultante de uma campanha de spam.
Os consumidores mais suscetíveis a infecções por malvertising são aqueles que usam tecnologias em seus dispositivos com detecção menos do que adequada. Entre as coisas que podem ajudar aqui está desligar o JavaScript quando não há necessidade dele e usar o programa Ad Block.
