Hackers foram detectados usando envenenamento de SEO e anúncios de mecanismos de busca para promover instaladores falsos do Microsoft Teams que infectam dispositivos Windows com o backdoor Oyster, fornecendo acesso inicial a redes corporativas. Esta campanha representa uma evolução preocupante nas táticas de cibercriminosos que exploram a confiança dos usuários em marcas estabelecidas.
O malware Oyster, também conhecido como Broomstick e CleanUpLoader, é um backdoor que apareceu pela primeira vez em meados de 2023 e desde então tem sido vinculado a múltiplas campanhas. O malware fornece aos atacantes acesso remoto a dispositivos infectados, permitindo que executem comandos, implantem cargas úteis adicionais e transfiram arquivos.
O Oyster é comumente espalhado através de campanhas de malvertising que se fazem passar por ferramentas de TI populares, como Putty e WinSCP. Operações de ransomware, como Rhysida, também utilizaram o malware para violar redes corporativas. Esta versatilidade torna o Oyster uma ferramenta particularmente perigosa para atacantes.
A Campanha de Envenenamento de SEO e Malvertising
Em uma nova campanha de malvertising e envenenamento de SEO detectada pela Blackpoint SOC, atores de ameaça estão promovendo um site falso que aparece quando visitantes pesquisam por “Teams download”. Esta tática explora a confiança natural dos usuários em resultados de busca e marcas estabelecidas.
Embora os anúncios e domínio não falsifiquem o domínio da Microsoft, eles levam a um site em teams-install[.]top que se faz passar pelo site de download do Teams da Microsoft. Clicar no link de download baixaria um arquivo chamado “MSTeamsSetup.exe”, que é o mesmo nome de arquivo usado pelo download oficial da Microsoft.
Esta estratégia de usar nomes de arquivo idênticos aos oficiais é particularmente insidiosa porque pode enganar até mesmo usuários experientes. A semelhança visual e funcional com o site oficial da Microsoft adiciona uma camada adicional de credibilidade à campanha maliciosa.
O site falso é projetado para imitar cuidadosamente a aparência e funcionalidade do site oficial de download do Microsoft Teams, tornando difícil para os usuários distinguirem entre o site legítimo e o malicioso. Esta atenção aos detalhes demonstra o nível de sofisticação das campanhas de malvertising modernas.
Assinatura de Código e Persistência do Malware
O MSTeamsSetup.exe malicioso foi assinado com certificados de “4th State Oy” e “NRM NETWORK RISK MANAGEMENT INC” para adicionar legitimidade ao arquivo. Esta assinatura de código é uma tática comum usada por atacantes para contornar sistemas de segurança que confiam em certificados digitais.
Quando executado, o instalador falso implantou uma DLL maliciosa chamada CaptureService.dll na pasta %APPDATA%\Roaming. Esta localização é estratégica porque é frequentemente excluída de varreduras de segurança e permite que o malware opere com privilégios de usuário sem levantar suspeitas imediatas.
Para persistência, o instalador cria uma tarefa agendada chamada “CaptureService” para executar a DLL a cada 11 minutos, garantindo que o backdoor permaneça ativo mesmo após reinicializações. Esta estratégia de persistência é particularmente eficaz porque as tarefas agendadas são frequentemente ignoradas por sistemas de monitoramento de segurança.
A escolha de executar a cada 11 minutos é interessante porque evita padrões previsíveis que podem ser detectados por sistemas de segurança. Esta irregularidade temporal pode ajudar o malware a evitar detecção por sistemas que procuram por atividade suspeita em intervalos regulares.
Padrões de Ataque e Evolução das Táticas
Esta atividade se assemelha a instaladores falsos anteriores do Google Chrome e Microsoft Teams que distribuíram Oyster, destacando como o envenenamento de SEO e malvertising permanecem uma tática popular para violar redes corporativas. Esta consistência nas táticas sugere que os atacantes encontraram uma fórmula eficaz que continuam a refinar.
A Blackpoint conclui que “esta atividade destaca o abuso contínuo de envenenamento de SEO e anúncios maliciosos para entregar backdoors comuns sob o disfarce de software confiável. Muito parecido com as campanhas falsas do PuTTY observadas no início deste ano, atores de ameaça estão explorando a confiança dos usuários em resultados de busca e marcas bem conhecidas para obter acesso inicial.”
Esta análise destaca uma tendência preocupante na cibersegurança: os atacantes estão se tornando cada vez mais sofisticados em sua capacidade de explorar a confiança natural dos usuários em marcas estabelecidas e resultados de busca. Esta exploração da confiança humana representa um desafio único para sistemas de segurança tradicionais.
O fato de que estas campanhas continuam a ser bem-sucedidas sugere que há uma necessidade urgente de melhorar a educação em cibersegurança e desenvolver sistemas de detecção mais sofisticados que possam identificar e bloquear estas táticas antes que causem danos.
Alvos e Implicações para Redes Corporativas
Como administradores de TI são um alvo popular para obter acesso a credenciais com altos privilégios, eles são aconselhados a baixar software apenas de domínios verificados e evitar clicar em anúncios de mecanismos de busca. Esta recomendação é particularmente importante porque os administradores de TI frequentemente têm acesso a sistemas críticos e dados sensíveis.
A campanha contra o Microsoft Teams é especialmente preocupante porque o Teams é amplamente usado em ambientes corporativos para comunicação e colaboração. Se um administrador de TI for comprometido através desta campanha, os atacantes podem ter acesso a informações confidenciais e sistemas críticos.
O uso do malware Oyster em múltiplas campanhas também sugere que há uma infraestrutura de cibercrime bem estabelecida que está sendo reutilizada para diferentes tipos de ataques. Esta reutilização de ferramentas e táticas pode tornar mais difícil para as organizações se defenderem contra estes ataques.
Ou seja, está difícil acompanhar o cybercrime, mas não é nada impossível também, afinal, boa parte dos ataques confia na falha que é o fator humano, então é algo que pode ser resolvido de um jeito ou de outro.
