Faixa do topo de Notícias
Banner de Notícias
Fique por dentro sobre tudo que acontece no mercado financeiro, no Brasil e no Mundo.
Novo golpe do boleto já distribuiu quase 300 mil e-mails no Brasil
Novo golpe do boleto já distribuiu quase 300 mil e-mails no Brasil

7 de dezembro de 2017

A Unit 42, unidade de pesquisa da Palo Alto Networks, identificou uma campanha de malspam (spam malicioso) especialmente desenvolvida para afetar vítimas brasileiras. Usando boletos falsos para distribuir malware, criminosos podem roubar dados dos computadores das vítimas, incluindo senhas e nomes de usuários. Segundo a UNit 42, a campanha, batizada de “Boleto Mestre”, já distribuiu 261.098 e-mails desde junho.

O modo de ataque é um hiperlink disfarçado cria conexão entre o computador da vítima e um servidor usado pelos criminosos. Ao clicar, é iniciado o download de um malware do tipo Trojan. Os hosts do Windows infectados por esta campanha geram tráfego de texto simples em IRC (protocolo de comunicação utilizado para chats, bate-papo, e troca de arquivo).

Todos os hosts infectados então se juntam ao canal #MESTRE. Esse tipo de tráfego IRC é único, nunca visto antes para campanhas de malspam baseadas no Brasil. Por este motivo, a Unit 42 está chamando a campanha de “Boleto Mestre”. Como funciona a infecção:

A vítima clica em um link do e-mail ou arquivo PDF anexado, que retorna um arquivo VBS infectado.
Na sequência, clica duas vezes no arquivo VBS (Visual Basic).
Mais arquivos são baixados para o host Windows infectado.
Tráfego de check-in inicial com link comprometido www.petr4 [.] In.
O host infectado começa a se comunicar através do IRC com a máquina do criminoso.

Antes do dia 16 de junho, o malspam Boleto Mestre tinha links no texto da mensagem de e-mail para um arquivo VBS publicado em outro lugar. No entanto, após esta data, esses e-mails mal-intencionados, passaram a incluir também anexos PDF, bem como os links, visando criar um ataque redundante.

Estes anexos PDF não têm exploits (malware em si), eles incluem um link com a mensagem “Ocorreu um erro inesperado. Clique para abrir o arquivo PDF”, como o link no corpo do e-mail que direciona para uma URL que devolve o arquivo VBS. Porém, a URL do PDF é diferente da do texto do e-mail, demonstrando o esquema de redundância para aumentar as chances de infecção do computador da vítima.

Ao clicar no link no texto da mensagem ou no do anexo PDF, o mesmo arquivo VBS é baixado. Nesse caso, os links de e-mail e PDF são redirecionados para um URL no sendpace [.] com. O Sendspace é um serviço legítimo que permite às pessoas compartilhar arquivos na web. Criminosos por trás da “Boleto Mestre” usaram outros serviços de compartilhamento de arquivos, como Google Drive e 4shared, mas eles tendem a usar mais o Sendspace.

A URL do e-mail ou do anexo de PDF possui localização específica, ou seja, os servidores que hospedam o malware não retornam nada a menos que a vítima venha de um endereço IP no Brasil.

Fonte: Convergência Digital

« | »
← Voltar para a listagem de notícias
Alerta contra Fraudes
Atenção: fraudadores se passam por funcionários de empresas respeitadas para efetuar golpes. Entre sempre em contato direto com a empresa antes de fechar um negócio. Na Credilink todos os consultores podem ser acionados pelo telefone 4007-1762.
Alerta contra Fraudes

AVISO IMPORTANTE - CORONAVÍRUS

Para preservar os nossos funcionários, os atendimentos estão funcionando apenas nos e-mails:

Suporte: suporte@credilink.com.br
Financeiro: financeiro@credilink.com.br
Pos-venda: posvenda@credilink.com.br

Os nossos telefones fixos estão temporariamente indísponíveis.

Salientamos que os nossos serviços continuam funcionando normalmente 24h por dia.