{"id":20516,"date":"2023-01-04T16:05:47","date_gmt":"2023-01-04T19:05:47","guid":{"rendered":"https:\/\/www.kaspersky.com.br\/blog\/?p=20516"},"modified":"2023-01-04T16:05:47","modified_gmt":"2023-01-04T19:05:47","slug":"bluenoroff-mark-of-the-web","status":"publish","type":"post","link":"https:\/\/www.kaspersky.com.br\/blog\/bluenoroff-mark-of-the-web\/20516\/","title":{"rendered":"Um drible no mecanismo Mark-of-the-Web"},"content":{"rendered":"

Normalmente, quando um usu\u00e1rio tenta ler um documento do Office que foi enviado por e-mail ou baixado de um site, o Microsoft Office o abre no modo protegido. Ele faz isso usando Mark-of-the-Web (MOTW), um dos mecanismos de prote\u00e7\u00e3o padr\u00e3o do Windows. Ele marca os arquivos que apareceram no seu PC a partir da internet, para que os aplicativos conhe\u00e7am sua origem e possam chamar a aten\u00e7\u00e3o do usu\u00e1rio para um perigo potencial. No entanto, confiar cegamente na efic\u00e1cia de tal mecanismo de aviso \u00e9 provavelmente uma m\u00e1 ideia, pois, ultimamente, muitos invasores come\u00e7aram a usar m\u00e9todos para contornar o MOTW. Por exemplo, quando nossos especialistas estudaram recentemente as ferramentas do grupo BlueNoroff (que dizem ser uma parte do grupo Lazarus), descobriram que os cibercriminosos est\u00e3o empregando novos truques para enganar o sistema operacional.<\/p>\n

Como o BlueNoroff dribla o mecanismo MOTW<\/h2>\n

O mecanismo Mark-of-the-Web funciona da seguinte forma: assim que um usu\u00e1rio (ou programa) baixa um arquivo da rede, o sistema de arquivos NTFS fixa um atributo \u201cfrom the internet\u201d a ele. Mas esse atributo nem sempre \u00e9 adquirido. Quando voc\u00ea baixa um ficheiro ou pasta, todos os arquivos dentro dele recebem esse atributo. No entanto, uma pasta est\u00e1 longe de ser a \u00fanica maneira de transferir um arquivo indiretamente.<\/p>\n

Os invasores por tr\u00e1s do grupo BlueNoroff come\u00e7aram a experimentar a utiliza\u00e7\u00e3o de novos tipos de arquivo para entregar documentos maliciosos. Em algumas ocasi\u00f5es eles usaram o formato .iso, que comumente armazena imagens de discos \u00f3pticos. A outra op\u00e7\u00e3o \u00e9 um arquivo .vhd que geralmente cont\u00e9m um disco r\u00edgido virtual. Em outras palavras, eles escondem a carga real do ataque \u2013 um documento falso e um script malicioso \u2013 dentro da imagem ou unidade virtual.<\/p>\n

Uma descri\u00e7\u00e3o t\u00e9cnica mais detalhada das ferramentas e m\u00e9todos BlueNoroff atualizados, bem como indicadores de comprometimento, pode ser encontrada na publica\u00e7\u00e3o de nossos especialistas no blog Securelist<\/a>.<\/p>\n

Quem s\u00e3o BlueNoroff e o que eles est\u00e3o procurando<\/h2>\n

No in\u00edcio deste ano, j\u00e1 escrevemos sobre a campanha SnatchCrypto<\/a> destinada a roubar criptomoedas. Com base em v\u00e1rios sinais, nossos pesquisadores acreditam que \u00e9 o mesmo grupo BlueNoroff que est\u00e1 por tr\u00e1s disso. A atividade observada hoje tamb\u00e9m visa principalmente a obten\u00e7\u00e3o de ganhos financeiros. Na verdade, o est\u00e1gio final do ataque permaneceu o mesmo \u2013 os criminosos instalam um backdoor no computador infectado.<\/p>\n

O grupo BlueNoroff registrou muitos dom\u00ednios que imitam empresas de capital de risco e de investimentos, bem como grandes bancos. A julgar pelos nomes dos bancos, bem como pelos documentos falsos usados \u200b\u200bpelos invasores, eles est\u00e3o interessados \u200b\u200bprincipalmente em alvos que falam japon\u00eas. No entanto, pelo menos uma v\u00edtima do grupo foi encontrada nos Emirados \u00c1rabes Unidos. Como mostra a pr\u00e1tica, o BlueNoroff est\u00e1 interessado principalmente em neg\u00f3cios relacionados a criptomoedas, bem como em institui\u00e7\u00f5es financeiras.<\/p>\n

Como se manter protegido?<\/h2>\n

Em primeiro lugar, vale a pena abandonar a ilus\u00e3o de que os mecanismos de prote\u00e7\u00e3o padr\u00e3o incorporados ao sistema operacional s\u00e3o suficientes para manter sua empresa segura. O mecanismo Mark-of-the-Web n\u00e3o pode proteger contra um funcion\u00e1rio abrindo um arquivo recebido da Internet e executando um script malicioso. Para que sua empresa n\u00e3o seja v\u00edtima dos ataques do BlueNororff e grupos APT similares, nossos especialistas recomendam o seguinte:<\/p>\n