Imagino que nossos leitores ainda se lembram do Stuxnet, um worm que, segundo diferentes fontes, foi desenvolvido em conjunto pelos Estados Unidos e Israel com o objetivo de sabotar o programa nuclear iraniano. O Stuxnet possuía recursos técnicos muito interessantes e ao mesmo tempo preocupantes, mas era questão de tempo para que surgissem variantes com funcionamento semelhante. Foi exatamente isso que a equipe da Kaspersky descobriu. Esse «malware sem arquivos» tem a capacidade de permanecer residente na memória sem deixar rastros, e aparentemente gosta muito de redes corporativas...
A história começou com o Stuxnet, depois seguiu com o Duqu, e em meados de 2015 foi descoberto o Duqu 2.0. O que a princípio foi tecnologia exclusiva de agências governamentais com orçamentos de alto nível, agora chegou às mãos de outros elementos que buscam resultados um pouco mais tangíveis... dinheiro, para ser preciso. Os especialistas em segurança chamam essa onda recente de malware de «fileless» (sem arquivos), pois tem como prioridade permanecer residente na memória, sem deixar rastros nos discos rígidos, ou ocultá-los da melhor forma possível. Essa estratégia não só torna o malware quase invisível, mas também obriga a repensar todas as técnicas forenses tradicionais.
A equipe da Kaspersky explica que as infecções são ainda mais difíceis de detectar devido ao uso de ferramentas consideradas legítimas, como por exemplo o Metasploit, o Mimikatz e até o próprio PowerShell do Windows. A empresa também informou que os ataques afetaram as redes de pelo menos 140 organizações, a maioria delas bancos. Estados Unidos, França, Equador, Quênia e Reino Unido formam o Top 5 dos países mais afetados. Algo que a Kaspersky ainda não conseguiu determinar é se o responsável é um único grupo, ou se são várias equipes em uma corrida para ver quem tem mais sucesso.
Basicamente, a função principal do malware (ou pelo menos uma delas) é a «colheita» de senhas. Tudo começa com a injeção na memória do Meterpreter (um dos payloads do Metasploit) usando comandos do PowerShell. Em seguida, o sistema infectado transmite os dados para servidores controlados pelo atacante com a ferramenta NETSH. E os privilégios necessários para essas ações são extraídos com o Mimikatz.
Na tentativa de reduzir sua pegada e evitar logs ou arquivos descartados no disco rígido, os atacantes «escondem» os comandos do PowerShell dentro do registro do Windows. A Kaspersky conseguiu reconstruir o malware graças a um dos controladores de domínio infectados com Meterpreter que não foi reiniciado. O que ainda precisa ser estabelecido pela Kaspersky é como o malware entra inicialmente, mas ela já adiantou que terá mais informações em abril, incluindo a forma como essas infecções permitem retirar dinheiro dos caixas eletrônicos.
Por outro lado, como você pode ver acima, e para quem precisar saber mais sobre o assunto, a empresa Comparitech criou uma útil folha de referência para entender como o Metasploit funciona, com todos os comandos necessários para verificar vulnerabilidades e entender o funcionamento da ferramenta. Super conveniente se você tiver que lidar com esse malware!
