Os mecanismos do Windows Update por meio do Windows Background Intelligent Transfer Service (BITS) foi encontrado para fornecer o perigoso malware Stealth Falcon. Este é o padrão para aplicar atualizações ao sistema operacional Microsoft Windows. Uma estratégia complexa é usada para penetrar nas redes alvo.
Malware Stealth Falcon entregue por meio de mecanismo abusivo de atualização do Windows
Um experiente coletivo de hackers está infectando ativamente vítimas de computador abusando da forma principal de aplicação de atualizações do Microsoft Windows, isso é feito por um processo chamado Serviço de transferência inteligente de plano de fundo do Windows (BITS), o objetivo final é entregar uma ameaça perigosa chamada Steath Falcon. A estratégia de hacking complexa usada pelos invasores permite que eles ocultem o tráfego de rede que se origina dos dispositivos comprometidos e é direcionado aos servidores controlados por hackers. O que se sabe sobre os hackers é que eles estão ativos desde 2012 e são conhecidos por terem orquestrado vários ataques patrocinados pelo Estado contra dissidentes nos Emirados Árabes Unidos.
O que é diferente sobre esse ataque específico é que o tráfego mascarado pode facilmente passar por firewalls e serviços de detecção de intrusão. O mecanismo BITS que é usado principalmente para fornecer patches do Windows Update também é usado com outros aplicativos, A Mozilla também o está adotando em seu navegador Firefox. Por padrão, ele é colocado na lista de permissões por regras de rede e é considerado um tráfego seguro. No momento o mecanismo exato não é conhecido no entanto, existem algumas táticas de infiltração possíveis:
- Kits de ferramentas automatizados - Ao usar software de hacking e entrar em exploits populares, os criminosos podem automatizar a busca por hosts vulneráveis. Sempre que um deles for encontrado, ele será infectado e os scripts principais fornecerão o malware Stealth Falcon.
- Estratégias de phishing - Os criminosos podem confiar em mensagens de e-mail fraudulentas e sites falsos que se fazem passar por páginas de destino legítimas.
- instaladores & payload Carriers - Um mecanismo muito popular é criar instaladores maliciosos de aplicativos populares que são frequentemente usados por usuários finais. Isso geralmente é feito pegando os instaladores originais e modificando-os com o código malicioso. Os portadores de carga podem ser qualquer arquivo que carregue os scripts e comandos de infecção, comumente, os hackers contam com documentos em todos os formatos populares: bases de dados, arquivos de texto, planilhas e apresentações.
Recursos de malware Stealth Falcon
Assim que os arquivos necessários forem soltos no computador de destino, o Stealth Falcon associado iniciará seu mecanismo integrado. O código principal do vírus é transportado em um arquivo DLL que se configurará para iniciar automaticamente após o login do usuário. Ele atua como um backdoor padrão de Trojan, sendo capaz de se conectar a processos em execução - tanto do sistema quanto de aplicativos do usuário. A lista de comandos que podem ser executados pelo motor principal é a seguinte:
- CFG - Atualizar dados de configuração
- K - Desinstalar-se
- RC - Execute o aplicativo especificado
- DL - Grave os dados baixados no arquivo
- CF - Prepare um arquivo para exfiltração
- CFW - Exfiltrar e excluir arquivos
O malware Stealth Falcon pode acessar, edite e armazene seus próprios valores no Registro do Windows. Qualquer manipulação de strings existentes pode levar a graves problemas de desempenho, erros e perda de dados. O malware também pode fazer a varredura do sistema e descobrir se há algum aplicativo e serviço de segurança em execução. Os que forem encontrados serão ignorados ou totalmente removidos. Exibindo características típicas de Trojan, o malware Stealth Falcon também relatará seu progresso automaticamente a um servidor remoto controlado por um hacker usando uma conexão segura. Isso permite que os hackers roubem dados do usuário, assumir o controle de seus sistemas e também implantar outras ameaças.
Martin Beltov
Martin formou-se na publicação da Universidade de Sofia. Como a segurança cibernética entusiasta ele gosta de escrever sobre as ameaças mais recentes e mecanismos de invasão.
Me siga: