HP: invasores exploram vulnerabilidades antes que empresas possam corrigi-las

A HP divulgou seu mais recente relatório global HP Wolf Security Threat Insights Report, que apresenta uma análise dos ataques de segurança cibernética no mundo. Ao isolar ameaças que driblaram ferramentas de detecção e conseguir chegar a endpoints de usuários, a HP Wolf Security tem uma visão exclusiva sobre as mais novas técnicas que estão sendo usadas por cibercriminosos.

A equipe de pesquisa da HP Wolf Security encontrou evidências de que os criminosos cibernéticos estão se mobilizando rapidamente para transformar vulnerabilidades de dia zero em armas. Exploits da falha CVE-2021-40444 – uma vulnerabilidade de dia zero na execução remota de Código que permite a exploração do mecanismo de renderização MSHTML usando documentos do Microsoft Office – foram captados pela primeira vez pela HP em 8 de setembro, uma semana antes de a correção ser lançada, em 14 de setembro.

Até 10 de setembro – apenas três dias após a notificação inicial das ameaças –, a equipe de pesquisa de da HP encontrou scripts desenhados para automatizar a criação desse exploit sendo compartilhados no GitHub. Se não for corrigido, o exploit permite que os invasores comprometam endpoints com pouquíssima interação com o usuário. Ele utiliza um arquivo malicioso que implanta o malware por meio de um documento do Office. Os usuários não têm que abrir o arquivo nem permitir qualquer ação, bastando a pré-visualização no File Explorer para iniciar o ataque, do qual geralmente o usuário nem fica sabendo. Uma vez que o dispositivo está comprometido, os invasores podem instalar backdoors nos sistemas, que podem ser vendidos a grupos de ransomware.

Outras ameaças dignas de atenção também foram encontradas pela equipe de análise de ameaças da HP Wolf Security, entre elas:
Aumento no uso de provedores legítimos de Nuvem e internet pelos cibercriminosos para hospedar malware
Uma campanha recente da GuLoader estava hospedando o Remcos Remote Access Trojan (RAT) em grandes plataformas, como o OneDrive, a fim de evitar sistemas de detecção de intrusão e passar por testes de listas de permissões. A HP Wolf Security também descobriu múltiplas famílias de malware hospedadas em plataformas de mídias sociais de jogos, como o Discord.

Malware em JavaScript escapando de ferramentas de detecção
Trata-se de uma campanha que espalha vários RATs de JavaScript via anexos maliciosos de e-mail. Downloaders de JavaScript têm uma taxa de detecção mais baixa do que downloaders do Office ou binários. Os RATs estão cada vez mais comuns, com invasores visando roubar credenciais de contas corporativas ou carteiras de criptomoedas.

Campanha de ataque passando-se por fundo nacional de Previdência Social de Uganda
Os criminosos usaram “typosquatting” – um endereço falso semelhante ao do domínio oficial – a fim de atrair alvos para um site que baixa um documento de Word malicioso. Esse documento usa macros para rodar um script PowerShell que bloqueia registros de segurança e se esquiva do recurso Windows Antimalware Scan Interface.

Com arquivos HTA, malware espalha-se em um único clique
O Trickbot Trojan agora é entregue via arquivo HTA (aplicação HTML), que implanta o malware assim que o anexo ou arquivo que o contém é aberto. Sendo o HTA um tipo de arquivo incomum, é menos provável que seja identificado por ferramentas de detecção.

“O tempo médio para uma empresa aplicar, testar e implantar completamente correções devidamente checadas é de 97 dias, dando aos criminosos cibernéticos uma oportunidade de explorar essa ‘janela de vulnerabilidade’. Antigamente apenas hackers altamente capacitados conseguiam explorar essa vulnerabilidade, mas os scripts automatizados baixaram o nível de qualificação necessária, tornando esse tipo de ataque acessível a criminosos menos instruídos e preparados. Isso aumenta substancialmente o risco para as empresas, pois exploits de dia zero são vendidos e disponibilizados ao mercado de massa em fóruns clandestinos e outros locais”, explica Alex Holland, analista sênior de malware da equipe de pesquisa de ameaças HP Wolf Security, da HP.

“Esses novos exploits tendem a ser eficientes em driblar ferramentas de detecção porque as assinaturas podem ser imperfeitas e ficar obsoletas rapidamente, conforme a compreensão do escopo for mudando. Prevemos que agentes de ameaças adotem a CVE-2021-40444 como parte de seus arsenais e, possivelmente, até substituam exploits usados atualmente para obtenção inicial de acesso a sistemas, tais como os que exploram o Equation Editor”, completa o executivo.

“Também temos visto grandes plataformas, como o OneDrive, permitindo que hackers realizem ataques mais velozes. Embora o malware hospedado nessas plataformas geralmente seja abatido rapidamente, isso não detém seus agentes, pois eles muitas vezes conseguem atingir seu objetivo de entregar o malware nas poucas horas em que os links ficam no ar”, continua Holland. “Alguns agentes de ameaças estão mudando a cada poucos meses o script ou tipo de arquivo que usam. Arquivos maliciosos de JavaScript e HTA não são algo novo, mas ainda estão caindo nas caixas de entrada de funcionários e colocando as empresas em risco. Uma campanha empregou o Vengeance Justice Worm, que consegue se espalhar para outros sistemas e drives USB.”

Os achados da pesquisa baseiam-se nos dados de milhões de endpoints que rodam a HP Wolf Security. Além disso, a empresa rastreia malware abrindo tarefas suspeitas em micromáquinas virtuais (micro VMs) isoladas para entender e obter a cadeia completa de infecção, ajudando a amenizar as ameaças que passaram despercebidas por outras ferramentas de segurança. Isso fez com que os clientes clicassem em mais de 10 bilhões de anexos de e-mail, páginas na internet e downloads sem violações reportadas. Ao entender melhor o comportamento de arquivos maliciosos à solta, os pesquisadores e engenheiros da HP Wolf Security podem reforçar a proteção de endpoint e a resiliência do sistema como um todo.

As principais descobertas apresentadas no relatório incluem:
12% dos malware isolados em e-mail passaram por pelo menos um scanner de gateway

89% dos malware detectados foram entregues via e-mail, enquanto os downloads na internet foram responsáveis por 11% e outros vetores, como dispositivos de armazenamento removíveis, por menos de 1%

Os anexos usados para entregar malware foram arquivos variados (38% – acima dos 17,26% registrados no último trimestre), documentos de Word (23%), planilhas (17%) e arquivos executáveis (16%)

As cinco iscas de phishing mais comuns foram as relativas a transações empresariais, tais como “order” (pedido), “payment” (pagamento), “new” (novo), “quotation” (orçamento) e “request” (requisição)

O relatório revela que 12% dos malware capturados eram previamente desconhecidos.

“Não podemos continuar dependendo apenas da detecção. O cenário de ameaças é muito dinâmico e, como podemos ver pelas análises captadas em nossas máquinas virtuais, os invasores estão cada vez mais hábeis em driblar a detecção”, comenta o Dr. Ian Pratt, chefe global de Segurança para Sistemas Pessoais da HP. “As organizações precisam adotar uma abordagem em camadas em relação à segurança de endpoint, seguindo princípios de confiança zero para conter e isolar os vetores mais comuns de ataques, tais como e-mails, navegadores e downloads. Isso vai eliminar a superfície de ataque para categorias inteiras de ameaças, dando às organizações o tempo necessário para coordenarem ciclos de correção com segurança e sem interrupção dos serviços.”

Os dados foram coletados em máquinas virtuais de clientes da HP Wolf Security entre julho e setembro de 2021.

Sobre a HP Wolf Security
Da mesma fabricante dos PCs e impressoras mais seguros do mundo, a HP Wolf Security é uma nova linhagem de segurança de endpoint. O portfólio da HP de segurança no nível do hardware e de serviços de segurança focados no endpoint é projetado para ajudar as organizações a proteger PCs, impressoras e pessoas dos predadores cibernéticos que os rondam. A HP Wolf Security proporciona proteção abrangente e resiliência de endpoint que começam no nível do hardware e se estendem a todos os software e serviços.

1. Pesquisadores de segurança credenciados pela Microsoft Rick Cole (MSTIC), Dhanesh Kizhakkinan (Mandiant), Haifei Li (EXPMON) e Bryce Abdo (Mandiant) descobriram a vulnerabilidade de dia zero.

2. Suposições baseadas em análise interna feita pela HP de insights reportados e base instalada de clientes.

3. Com base em dados vistos pela primeira vez em ação a partir de múltiplas ferramentas antivírus.

4. Com base nos recursos de segurança exclusivos e abrangentes da HP sem custo adicional entre os fornecedores de PCs HP Elite com Windows e processadores Intel de 8ª geração e superiores ou processadores AMD Ryzen  4000 e superiores; HP ProDesk 600 G6 com processadores Intel de 10ª geração e superiores; e HP ProBook 600 com AMD Ryzen  4000 ou processadores Intel 11ª geração e superior.

5. Os recursos de segurança incorporados mais avançados da HP estão disponíveis nos dispositivos HP Enterprise e HP Managed com firmware HP FutureSmart 4.5 ou superior. Reivindicação baseada na revisão da HP de 2021 recursos publicados de impressoras competitivas em sua classe. Somente a HP oferece uma combinação de recursos de segurança para detectar, interromper e recuperar automaticamente de ataques com uma reinicialização de autocorreção, em alinhamento com as diretrizes do NIST SP 800-193 para resiliência cibernética de dispositivos. Para obter uma lista de produtos compatíveis, visite: hp.com/go/PrintersThatProtect. Para obter mais informações, visite: hp.com/go/PrinterSecurityClaims

6. HP Security agora é HP Wolf Security. Os recursos de segurança variam de acordo com a plataforma, consulte a folha de dados do produto para obter detalhes.