Lemonduck, um dos mais infames malwares que usa o sistema infectado para mineração de criptomoedas continua a refinar e melhorar suas técnicas para atacar tanto os sistemas operacionais Windows quanto os Linux, colocando sua mira em vulnerabilidades mais antigas, ao mesmo tempo em que se agarra a uma variedade de mecanismos de disseminação para maximizar a eficácia de suas campanhas.
O LemonDuck, um malware robusto e atualizado ativamente, conhecido principalmente por seus objetivos de mineração de criptomoedas e criação de botnets, seguiu a mesma trajetória quando adotou um comportamento mais sofisticado e intensificou suas operações”, disse a Microsoft em post publicado na semana passada. “Hoje, além de utilizar recursos para suas atividades tradicionais de bot e mineração, a LemonDuck rouba credenciais, remove controles de segurança, espalha-se através de e-mails, move-se lateralmente e, por fim, implanta ferramentas para controle nos sistemas afetados”.
Notavelmente, a LemonDuck atua como um carregador para ataques subsequentes que envolvem roubo de credenciais e a instalação de implantes de próxima etapa que poderiam atuar como porta de entrada para uma variedade de ameaças maliciosas, incluindo resgates.
As atividades da LemonDuck foram descobertas pela primeira vez na China em maio de 2019, antes de começar a adotar técnicas de pishing com o tema COVID-19 em ataques por e-mail em 2020 e até mesmo as falhas do Exchange Server “ProxyLogon” recentemente abordadas para obter acesso a sistemas não corrigidos. Outra tática de destaque é sua capacidade de apagar “outros atacantes de um dispositivo comprometido, livrando-se de malwares concorrentes e prevenindo quaisquer novas infecções através da correção das mesmas vulnerabilidades que usava para obter acesso”.
Ataques que incorporam o malware LemonDuck têm se concentrado principalmente nos setores de manufatura e de IOT, com os EUA, Rússia, China, Alemanha, Reino Unido, Índia, Coréia, Canadá, França e Vietnã testemunhando o maior número de detecções deste malware.
Além disso, a Microsoft cancelou as operações de uma segunda entidade que depende da LemonDuck para alcançar “objetivos separados”, que a empresa denominou de “LemonCat”. A infra-estrutura de ataque associada à variante “Cat” teria surgido em janeiro de 2021, o que acabou levando ao seu uso em ataques que exploravam vulnerabilidades visando o Microsoft Exchange Server. Intrusões subsequentes tirando vantagem dos domínios “Cat” resultaram na instalação de backdoor, credenciais, roubo de dados e entrega de malware, muitas vezes um trojan do Windows chamado Ramnit.
“O fato de a infra-estrutura Cat ser usada para as campanhas mais perigosas não diminui os riscos das infecções por malware da infra-estrutura Duck”, disse a Microsoft. “Em vez disso, estas informações acrescentam um contexto importante para compreender esta ameaça que é o Lemonduck.
