Pesquisadores de segurança cibernética da Securonix descobriram recentemente um novo malware baseado em Python capaz de roubar arquivos e registrar teclas digitadas de endpoints afetados.
Batizado de PY#RATION, o malware está sendo ativamente desenvolvido, com os pesquisadores identificando várias versões desde agosto de 2022. O malware usa o protocolo WebSocket para se conectar ao servidor de comando e controle (C2) e receber instruções e extrair potencialmente dados sensíveis.
A Securonix afirma que o malware “utiliza o framework Socket.IO incorporado do Python, que fornece recursos para comunicação WebSocket tanto do cliente quanto do servidor”.
O malware usa este canal para buscar dados e receber comandos. A vantagem do WebSocket, segundo a publicação, é que ele permite que o malware envie e receba dados em uma única conexão TCP, via portas comuns, simultaneamente.
Recursos do PY#RATION
Os pesquisadores também disseram que os atacantes usaram o mesmo endereço C2 o tempo todo. Dado que o endereço ainda não foi bloqueado no sistema de verificação IPVoid, os pesquisadores assumiram que o PY#RATION estava voando abaixo do radar por meses.
As características do PY#RATION incluem, entre outras, a enumeração da rede, transferência de arquivos para e do C2, registro de teclas, execução de comandos shell, enumeração de host, roubo de cookies, roubo de senhas armazenadas no navegador e roubo de dados da área de transferência.
Para distribuir o malware, os atacantes estão usando o bom e velho e-mail de phishing
Para distribuir o malware, os atacantes estão usando o bom e velho e-mail de phishing. O e-mail vem com um arquivo .ZIP protegido por senha que, quando descompactado, entrega dois arquivos de atalho que parecem arquivos de imagem – front.jpg.lkn e back.jpg.lnk.
Os nomes de arquivo “front” e “back” se referem à frente e à parte traseira de uma carteira de motorista inexistente. Se as vítimas clicarem nos arquivos, elas receberão dois arquivos adicionais baixados da internet – front.txt e back.txt.
Esses arquivos são posteriormente renomeados para arquivos .bat e executados. O próprio malware tenta se disfarçar como Cortana, assistente virtual da Microsoft, para desencorajar sua remoção do sistema.
O grupo por trás do malware, o volume de distribuição e o objetivo da campanha são desconhecidos no momento.
