{"id":20296,"date":"2024-08-06T22:43:53","date_gmt":"2024-08-07T01:43:53","guid":{"rendered":"https:\/\/www.ethicalhacker.com.br\/site\/?p=20296"},"modified":"2024-08-06T22:43:53","modified_gmt":"2024-08-07T01:43:53","slug":"crowdstrike-alerta-sobre-novo-golpe-de-phishing","status":"publish","type":"post","link":"https:\/\/www.ethicalhacker.com.br\/site\/2024\/08\/basico\/crowdstrike-alerta-sobre-novo-golpe-de-phishing\/","title":{"rendered":"CrowdStrike alerta sobre novo golpe de phishing"},"content":{"rendered":"\n<p class=\"story-title\"><strong>CrowdStrike alerta sobre novo golpe de phishing direcionado a clientes alem\u00e3es<\/strong><\/p>\n<p>\u00a0<\/p>\n<p style=\"text-align: justify;\">A CrowdStrike est\u00e1 alertando sobre um agente de amea\u00e7a desconhecido tentando capitalizar o\u00a0fiasco da atualiza\u00e7\u00e3o do Falcon Sensor\u00a0para distribuir instaladores duvidosos visando clientes alem\u00e3es como parte de uma campanha altamente direcionada.<\/p>\n<p>\u00a0<\/p>\n<p style=\"text-align: justify;\">A empresa de seguran\u00e7a cibern\u00e9tica disse ter identificado o que descreveu como uma tentativa de spear-phishing n\u00e3o atribu\u00edda em 24 de julho de 2024, distribuindo um instalador n\u00e3o aut\u00eantico do CrowdStrike Crash Reporter por meio de um site que se passava por uma entidade alem\u00e3 n\u00e3o identificada.<\/p>\n<p>\u00a0<\/p>\n<p style=\"text-align: justify;\">Dizem que o site impostor foi criado em 20 de julho, um dia ap\u00f3s a\u00a0atualiza\u00e7\u00e3o malfeita\u00a0ter travado quase 9 milh\u00f5es de dispositivos Windows, causando grandes interrup\u00e7\u00f5es de TI em todo o mundo.<\/p>\n<p>\u00a0<\/p>\n<p style=\"text-align: justify;\">&#8220;Depois que o usu\u00e1rio clica no bot\u00e3o Download, o site utiliza o JavaScript (JS) que se disfar\u00e7a como JQuery v3.7.1 para baixar e desofuscar o instalador&#8221;, informou a equipe de Opera\u00e7\u00f5es Anti-Advers\u00e1rio da CrowdStrike .<\/p>\n<p>\u00a0<\/p>\n<p style=\"text-align: justify;\">&#8220;O instalador cont\u00e9m a marca CrowdStrike, localiza\u00e7\u00e3o em alem\u00e3o e uma senha \u00e9 necess\u00e1ria para continuar instalando o malware.&#8221;<\/p>\n<p>\u00a0<\/p>\n<p style=\"text-align: justify;\">Especificamente, a p\u00e1gina de spear-phishing apresentava um link de download para um arquivo ZIP contendo um instalador malicioso do InnoSetup, com o c\u00f3digo malicioso servindo o execut\u00e1vel injetado em um arquivo JavaScript chamado &#8220;jquery-3.7.1.min.js&#8221; em um esfor\u00e7o aparente para evitar a detec\u00e7\u00e3o.<\/p>\n<p>\u00a0<\/p>\n<p style=\"text-align: justify;\">Usu\u00e1rios que acabam iniciando o instalador falso s\u00e3o ent\u00e3o solicitados a entrar em um &#8220;Backend-Server&#8221; para prosseguir. A CrowdStrike disse que n\u00e3o conseguiu recuperar o payload final implantado por meio do instalador.<\/p>\n<p>\u00a0<\/p>\n<p style=\"text-align: justify;\">A campanha \u00e9 avaliada como altamente direcionada devido ao fato de que o instalador \u00e9 protegido por senha e requer entrada que provavelmente s\u00f3 \u00e9 conhecida pelas entidades direcionadas. Al\u00e9m disso, a presen\u00e7a do idioma alem\u00e3o sugere que a atividade \u00e9 voltada para clientes CrowdStrike de l\u00edngua alem\u00e3.<\/p>\n<p>\u00a0<\/p>\n<p style=\"text-align: justify;\">&#8220;O agente da amea\u00e7a parece estar muito ciente das pr\u00e1ticas de seguran\u00e7a operacional (OPSEC), pois se concentrou em t\u00e9cnicas antiforenses durante esta campanha&#8221;, relatou a CrowdStrike.<\/p>\n<p>\u00a0<\/p>\n<p style=\"text-align: justify;\">&#8220;Por exemplo, o ator registrou um subdom\u00ednio sob o dom\u00ednio it[.]com, impedindo a an\u00e1lise hist\u00f3rica dos detalhes do registro do dom\u00ednio. Al\u00e9m disso, criptografar o conte\u00fado do instalador e impedir que outras atividades ocorram sem uma senha impede an\u00e1lises e atribui\u00e7\u00f5es posteriores.&#8221;<\/p>\n<p>\u00a0<\/p>\n<p><img loading=\"lazy\" decoding=\"async\" class=\"aligncenter\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEhjr7nFAOfmux3dKmBE4MXxA1UI095eueQlSxdjWItTiNrigbOl-GYnbev5cYRbHlp3uZJCsUIA5AEqeyMkjJCJhPrz4izXYnsxwFazsV5fuUeWTy2_nhfpbbA0jfjFzoQ_ZMo35MWNcLyIEt-xp94HF5-IqFM3Bm1_zd-fh9YQIAXZNb7JacNbQy3LuRGd\/s728-rw-e365\/code.png\" alt=\"Greve de multid\u00e3o\" width=\"588\" height=\"582\" \/><\/p>\n<p>\u00a0<\/p>\n<p style=\"text-align: justify;\">O desenvolvimento ocorre em meio a uma onda de ataques de phishing aproveitando o problema de atualiza\u00e7\u00e3o do CrowdStrike para propagar malware stealer e wiper.<\/p>\n<p>\u00a0<\/p>\n<ul>\n<li style=\"text-align: justify;\">Um dom\u00ednio de phishing crowdstrike-office365[.]com que\u00a0hospeda\u00a0arquivos de arquivamento desonestos contendo um carregador do Microsoft Installer (MSI) que, em \u00faltima an\u00e1lise, executa um ladr\u00e3o de informa\u00e7\u00f5es de commodities chamado\u00a0Lumma\u00a0.<\/li>\n<\/ul>\n<p>\u00a0<\/p>\n<ul>\n<li style=\"text-align: justify;\">Um arquivo ZIP (&#8220;CrowdStrike Falcon.zip&#8221;) que cont\u00e9m um ladr\u00e3o de informa\u00e7\u00f5es baseado em Python rastreado como\u00a0Connecio\u00a0que coleta informa\u00e7\u00f5es do sistema, endere\u00e7os IP externos e dados de v\u00e1rios navegadores da web e os exfiltra para contas SMTP listadas em um URL de dead-drop do Pastebin.<\/li>\n<\/ul>\n<p>\u00a0<\/p>\n<ul>\n<li style=\"text-align: justify;\" aria-level=\"1\">Uma campanha de phishing por e-mail\u00a0orquestrada\u00a0pela\u00a0Handala Hacking Team\u00a0visando entidades israelenses que engana os destinat\u00e1rios para que baixem uma &#8220;corre\u00e7\u00e3o de interrup\u00e7\u00e3o&#8221;, que inicia um instalador respons\u00e1vel por descompactar e executar um script AutoIt para iniciar um limpador de dados e exfiltrar informa\u00e7\u00f5es do sistema por meio da API do Telegram.<\/li>\n<\/ul>\n<p>\u00a0<\/p>\n<p style=\"text-align: justify;\">A empresa de infraestrutura e seguran\u00e7a da Web Akamai\u00a0disse\u00a0que descobriu nada menos que 180 novos dom\u00ednios de typosquat falsificados que pretendiam ajudar a lidar com o incidente, seja por meio de suporte t\u00e9cnico, solu\u00e7\u00f5es r\u00e1pidas ou suporte jur\u00eddico, em uma tentativa de introduzir malware ou roubar informa\u00e7\u00f5es confidenciais.<\/p>\n<p>\u00a0<\/p>\n<p style=\"text-align: justify;\">Na quinta-feira, o CEO da CrowdStrike, George Kurtz, disse que 97% dos dispositivos Windows que ficaram offline durante a paralisa\u00e7\u00e3o global de TI agora est\u00e3o operacionais.<\/p>\n<p>\u00a0<\/p>\n<p style=\"text-align: justify;\">&#8220;Na CrowdStrike, nossa miss\u00e3o \u00e9 ganhar sua confian\u00e7a protegendo suas opera\u00e7\u00f5es. Lamento profundamente a interrup\u00e7\u00e3o qu\u200be causou embara\u00e7os e pe\u00e7o desculpas pessoalmente a todos os afetados&#8221;, pronunciou\u00a0Kurtz . &#8220;Embora eu n\u00e3o possa prometer perfei\u00e7\u00e3o, posso prometer uma resposta focada, eficaz e com senso de urg\u00eancia.&#8221;<\/p>\n<p>\u00a0<\/p>\n<p style=\"text-align: justify;\">Anteriormente, o diretor de seguran\u00e7a da empresa, Shawn Henry, pediu desculpas por n\u00e3o conseguir &#8220;proteger pessoas boas de coisas ruins&#8221; e por &#8220;decepcionar exatamente as pessoas que nos comprometemos a proteger&#8221;.<\/p>\n<p>\u00a0<\/p>\n<p style=\"text-align: justify;\">&#8220;A confian\u00e7a que constru\u00edmos em gotas ao longo dos anos foi perdida em baldes em poucas horas, e foi um soco no est\u00f4mago&#8221;, Henry\u00a0reconheceu\u00a0. &#8220;Estamos comprometidos em reconquistar sua confian\u00e7a, fornecendo a prote\u00e7\u00e3o necess\u00e1ria para interromper os advers\u00e1rios que o alvejam. Apesar desse rev\u00e9s, a miss\u00e3o perdura.&#8221;<\/p>\n<p>\u00a0<\/p>\n<p style=\"text-align: justify;\">Enquanto isso, a an\u00e1lise da Bitsight dos padr\u00f5es de tr\u00e1fego exibidos pelas m\u00e1quinas CrowdStrike em organiza\u00e7\u00f5es no mundo todo revelou dois pontos de dados &#8220;interessantes&#8221; que, segundo ela, justificam uma investiga\u00e7\u00e3o adicional.<\/p>\n<p>\u00a0<\/p>\n<p style=\"text-align: justify;\"><span>Enquanto isso, a an\u00e1lise da Bitsight dos padr\u00f5es de tr\u00e1fego exibidos pelas m\u00e1quinas CrowdStrike em organiza\u00e7\u00f5es no mundo todo revelou dois pontos de dados &#8220;interessantes&#8221; que, segundo ela, justificam uma investiga\u00e7\u00e3o adicional.<\/span><\/p>\n<p>\u00a0<\/p>\n<p style=\"text-align: justify;\"><span>&#8220;Primeiramente, em 16 de julho, por volta das 22:00, houve um pico enorme de tr\u00e1fego, seguido por uma queda clara e significativa no tr\u00e1fego de sa\u00edda de organiza\u00e7\u00f5es para o CrowdStrike&#8221;, conforme relato<\/span><span> do pesquisador de seguran\u00e7a Pedro Umbelino . &#8220;Segundo, houve uma queda significativa, entre 15% e 20%, no n\u00famero de IPs \u00fanicos e organiza\u00e7\u00f5es conectadas aos servidores CrowdStrike Falcon, ap\u00f3s o amanhecer do dia 19.&#8221;<\/span><\/p>\n<p>\u00a0<\/p>\n<p style=\"text-align: justify;\"><span>&#8220;Embora n\u00e3o possamos inferir a que se pode atribuir a causa raiz da mudan\u00e7a nos padr\u00f5es de tr\u00e1fego no dia 16, isso justifica a quest\u00e3o fundamental de &#8216;Existe alguma correla\u00e7\u00e3o entre as observa\u00e7\u00f5es no dia 16 e a interrup\u00e7\u00e3o no dia 19?'&#8221;<\/span><\/p>\n<p>\u00a0<\/p>\n<h3 id=\"update\" class=\"anchor-heading\">Update<\/h3>\n<p>\u00a0<\/p>\n<p style=\"text-align: justify;\"><span>Embora o impacto total da interrup\u00e7\u00e3o de TI ainda precise ser contabilizado, a empresa de servi\u00e7os de seguros em nuvem Parametrix Solutions\u00a0<\/span><span>estima<\/span><span>\u00a0que o evento impactou quase um quarto das empresas da Fortune 500, resultando em uma perda financeira direta de US$ 5,4 bilh\u00f5es (excluindo a Microsoft), incluindo US$ 1,94 bilh\u00e3o em perdas para a sa\u00fade, US$ 1,15 bilh\u00e3o para o setor banc\u00e1rio e US$ 0,86 bilh\u00e3o para o setor de companhias a\u00e9reas.<\/span><\/p>\n<p>\u00a0<\/p>\n<p style=\"text-align: justify;\"><span>John Cable, vice-presidente de gerenciamento de programas de manuten\u00e7\u00e3o e entrega do Windows da Microsoft, disse que o incidente &#8220;ressalta a necessidade de resili\u00eancia de miss\u00e3o cr\u00edtica dentro de cada organiza\u00e7\u00e3o&#8221;.<\/span><\/p>\n<p>\u00a0<\/p>\n<p style=\"text-align: justify;\"><span>&#8220;Essas melhorias devem andar de m\u00e3os dadas com melhorias cont\u00ednuas em seguran\u00e7a e estar em estreita coopera\u00e7\u00e3o com nossos muitos parceiros, que tamb\u00e9m se preocupam profundamente com a seguran\u00e7a do ecossistema do Windows&#8221;, informou<\/span><span>\u00a0Cable , pedindo que as empresas tenham um plano de resposta a incidentes graves (MIRP) em vigor, fa\u00e7am backups de dados periodicamente, utilizem an\u00e9is de implanta\u00e7\u00e3o e habilitem linhas de base de seguran\u00e7a do Windows.<\/span><\/p>\n<p>\u00a0<\/p>\n<p style=\"text-align: justify;\"><span>Com o software de detec\u00e7\u00e3o e resposta de endpoint (EDR)\u00a0<\/span><span>exigindo acesso em n\u00edvel de kernel<\/span><span>\u00a0para detectar amea\u00e7as no Windows, o evento disruptivo parece ter tido tamb\u00e9m o efeito desejado de fazer a Microsoft repensar toda a abordagem.<\/span><\/p>\n<p>\u00a0<\/p>\n<p style=\"text-align: justify;\"><span>Redmond disse que recursos alternativos como enclaves de seguran\u00e7a baseados em virtualiza\u00e7\u00e3o (\u00a0<\/span><span>VBS<\/span><span>\u00a0), que foram\u00a0<\/span><span>introduzidos<\/span><span>\u00a0em maio, poderiam ser usados \u200b\u200bpor desenvolvedores terceirizados para criar um &#8220;ambiente de computa\u00e7\u00e3o isolado que n\u00e3o exija que os drivers do modo kernel sejam resistentes a viola\u00e7\u00f5es&#8221;. O\u00a0<\/span><span>Azure Attestation<\/span><span>\u00a0, outra solu\u00e7\u00e3o de seguran\u00e7a, permite a verifica\u00e7\u00e3o remota da &#8220;confiabilidade de uma plataforma e da integridade dos bin\u00e1rios em execu\u00e7\u00e3o dentro dela&#8221;.<\/span><\/p>\n<p>\u00a0<\/p>\n<p style=\"text-align: justify;\"><span>A Microsoft descreveu ainda que o problema surgiu devido a um &#8220;erro de seguran\u00e7a de mem\u00f3ria de leitura fora dos limites no driver CSagent.sys desenvolvido pela CrowdStrike&#8221;, e que esses drivers de kernel s\u00e3o aproveitados para resist\u00eancia a viola\u00e7\u00f5es e melhorias de desempenho, sem mencionar para obter visibilidade de todo o sistema em eventos relacionados \u00e0 seguran\u00e7a.<\/span><\/p>\n<p>\u00a0<\/p>\n<p style=\"text-align: justify;\"><span>&#8220;O Windows fornece v\u00e1rias abordagens de prote\u00e7\u00e3o de modo de usu\u00e1rio para antiadultera\u00e7\u00e3o, como Enclaves de seguran\u00e7a baseados em virtualiza\u00e7\u00e3o (VBS) e Processos Protegidos que os fornecedores podem usar para proteger seus principais processos de seguran\u00e7a&#8221;,\u00a0<\/span><span>descreveu<\/span><span>\u00a0David Weston, vice-presidente de seguran\u00e7a corporativa e de sistemas operacionais da Microsoft .<\/span><\/p>\n<p>\u00a0<\/p>\n<p style=\"text-align: justify;\"><span>&#8220;O Windows tamb\u00e9m fornece eventos ETW e interfaces de modo de usu\u00e1rio como a Antimalware Scan Interface para visibilidade de eventos. Esses mecanismos robustos podem ser usados \u200b\u200bpara reduzir a quantidade de c\u00f3digo kernel necess\u00e1ria para criar uma solu\u00e7\u00e3o de seguran\u00e7a, que equilibra seguran\u00e7a e robustez.&#8221;<\/span><\/p>\n<p>\u00a0<\/p>\n<p><em><span>(A hist\u00f3ria foi atualizada ap\u00f3s a publica\u00e7\u00e3o para incluir a an\u00e1lise da Microsoft sobre os relat\u00f3rios de falhas do Windows decorrentes do erro de programa\u00e7\u00e3o CrowdStrike.)<\/span><\/em><\/p>\n<p>\u00a0<\/p>\n<p>Este artigo \u00e9 uma tradu\u00e7\u00e3o de: <a href=\"https:\/\/thehackernews.com\/2024\/07\/crowdstrike-warns-of-new-phishing-scam.html\" target=\"_blank\" rel=\"noopener\">https:\/\/thehackernews.com\/2024\/07\/crowdstrike-warns-of-new-phishing-scam.html<\/a> (Autor: Mohit Kumar)<\/p>\n<p>\u00a0<\/p>\n<p>\u00a0<\/p>\n\n\n\n\n","protected":false},"excerpt":{"rendered":"<p>CrowdStrike alerta sobre novo golpe de phishing direcionado a clientes alem\u00e3es \u00a0 A CrowdStrike est\u00e1 alertando sobre um agente de amea\u00e7a desconhecido tentando capitalizar o\u00a0fiasco da atualiza\u00e7\u00e3o do Falcon Sensor\u00a0para distribuir instaladores duvidosos visando clientes alem\u00e3es como parte de uma campanha altamente direcionada. \u00a0 A empresa de seguran\u00e7a cibern\u00e9tica disse ter identificado o que descreveu [&hellip;]<\/p>\n","protected":false},"author":2,"featured_media":20298,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[89,100,105],"tags":[],"class_list":["post-20296","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-basico","category-diversos","category-noticias"],"_links":{"self":[{"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/posts\/20296","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/comments?post=20296"}],"version-history":[{"count":3,"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/posts\/20296\/revisions"}],"predecessor-version":[{"id":20300,"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/posts\/20296\/revisions\/20300"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/media\/20298"}],"wp:attachment":[{"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/media?parent=20296"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/categories?post=20296"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/tags?post=20296"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}