{"id":21004,"date":"2023-04-03T10:33:25","date_gmt":"2023-04-03T13:33:25","guid":{"rendered":"https:\/\/www.kaspersky.com.br\/blog\/?p=21004"},"modified":"2023-04-05T05:10:15","modified_gmt":"2023-04-05T08:10:15","slug":"supply-chain-attack-on-3cx","status":"publish","type":"post","link":"https:\/\/www.kaspersky.com.br\/blog\/supply-chain-attack-on-3cx\/21004\/","title":{"rendered":"Ataque \u00e0 cadeia de suprimentos em clientes 3CX"},"content":{"rendered":"<p>V\u00e1rias fontes da m\u00eddia est\u00e3o <a href=\"https:\/\/www.bleepingcomputer.com\/news\/security\/hackers-compromise-3cx-desktop-app-in-a-supply-chain-attack\/\" target=\"_blank\" rel=\"noopener nofollow\">relatando<\/a> um ataque em massa \u00e0 cadeia de suprimentos visando usu\u00e1rios do <a href=\"https:\/\/en.wikipedia.org\/wiki\/3CX_Phone_System\" target=\"_blank\" rel=\"noopener nofollow\">sistema de telefonia VoIP 3CX<\/a>. Invasores desconhecidos conseguiram infectar aplicativos 3CX VoIP para Windows e macOS. Agora, os cibercriminosos est\u00e3o atacando seus usu\u00e1rios por meio de um aplicativo munido e assinado com um certificado 3CX v\u00e1lido. A lista desses usu\u00e1rios \u00e9 incr\u00edvel \u2014 composta por mais de 600.000 empresas, incluindo marcas conhecidas de todo o mundo (American Express, BMW, Air France, Toyota, IKEA). V\u00e1rios pesquisadores apelidaram esse ataque malicioso de SmoothOperator.<\/p>\n<p>Aparentemente, os trojans est\u00e3o escondidos em todas as vers\u00f5es do software lan\u00e7adas ap\u00f3s 3 de mar\u00e7o; ou seja, os builds 18.12.407 e 18.12.416 para Windows e 18.11.1213 e posteriores para macOS. De acordo com representantes da 3CX, o c\u00f3digo malicioso entrou no programa por causa de algum componente de c\u00f3digo aberto trojanizado sem nome que foi usado pela equipe de desenvolvimento.<\/p>\n<h2>O ataque via software trojanizado 3CX<\/h2>\n<p>Citando pesquisadores de v\u00e1rias empresas, a BleepingComputer <a href=\"https:\/\/www.bleepingcomputer.com\/news\/security\/hackers-compromise-3cx-desktop-app-in-a-supply-chain-attack\/\" target=\"_blank\" rel=\"noopener nofollow\">descreve<\/a> o mecanismo de ataque por meio de um cliente Windows trojanizado da seguinte maneira:<\/p>\n<ul>\n<li>O usu\u00e1rio baixa um pacote de instala\u00e7\u00e3o do site oficial da empresa e o executa ou recebe uma atualiza\u00e7\u00e3o de um programa j\u00e1 instalado;<\/li>\n<li>Uma vez instalado, o programa trojanizado cria v\u00e1rias bibliotecas maliciosas, que s\u00e3o usadas para a pr\u00f3xima etapa do ataque;<\/li>\n<li>O malware baixa arquivos .ico hospedados no GitHub com linhas de dados adicionais;<\/li>\n<li>Essas linhas s\u00e3o usadas para baixar a carga maliciosa final \u2014 aquela usada para atacar os usu\u00e1rios finais.<\/li>\n<\/ul>\n<p>O mecanismo para atacar usu\u00e1rios do macOS \u00e9 um pouco diferente. Voc\u00ea pode encontrar sua <a href=\"https:\/\/objective-see.org\/blog\/blog_0x73.html\" target=\"_blank\" rel=\"noopener nofollow\">descri\u00e7\u00e3o detalhada<\/a> no site da funda\u00e7\u00e3o sem fins lucrativos Objective-See.<\/p>\n<h2>O que os hackers querem?<\/h2>\n<p>O malware baixado \u00e9 capaz de coletar informa\u00e7\u00f5es sobre o sistema, bem como roubar dados e salvar credenciais dos perfis de usu\u00e1rio dos navegadores Chrome, Edge, Brave e Firefox. Al\u00e9m disso, os invasores podem implantar um shell de comando interativo que, teoricamente, permite que eles fa\u00e7am quase tudo com o computador da v\u00edtima.<\/p>\n<h2>Por que esse ataque \u00e9 especialmente perigoso?<\/h2>\n<p>A vers\u00e3o trojanizada do programa \u00e9 assinada com um certificado leg\u00edtimo da 3CX Ltd. emitido pela Sectigo  \u2014 o mesmo certificado usado em vers\u00f5es anteriores do programa 3CX.<\/p>\n<p>Al\u00e9m disso, de acordo com a Objective-See, a vers\u00e3o macOS do malware n\u00e3o \u00e9 apenas assinada com um certificado v\u00e1lido, mas tamb\u00e9m autenticada pela Apple! Isso significa que o aplicativo pode ser executado em vers\u00f5es recentes do macOS.<\/p>\n<h2>Como se manter seguro<\/h2>\n<p>Os desenvolvedores do aplicativo recomendam desinstalar com urg\u00eancia as vers\u00f5es trojanizadas do programa usando o cliente da web VoIP at\u00e9 que a atualiza\u00e7\u00e3o seja lan\u00e7ada.<\/p>\n<p>Tamb\u00e9m \u00e9 aconselh\u00e1vel conduzir uma investiga\u00e7\u00e3o completa do incidente para garantir que os invasores n\u00e3o tenham tido tempo de assumir o controle dos computadores de sua empresa. Em geral, para controlar o que est\u00e1 acontecendo na rede corporativa e detectar atividades maliciosas em tempo h\u00e1bil, recomendamos o uso de servi\u00e7os do tipo [MDR placeholder]Managed Detection and Response (MDR) [\/MDR placeholder].<\/p>\n<input type=\"hidden\" class=\"category_for_banner\" value=\"mdr\">\n","protected":false},"excerpt":{"rendered":"<p>Os cibercriminosos est\u00e3o atacando os usu\u00e1rios do software de telefonia VoIP 3CX por meio de aplicativos trojanizados<\/p>\n","protected":false},"author":2698,"featured_media":21006,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[1119,1655,1656],"tags":[1935,160,807,230],"class_list":{"0":"post-21004","1":"post","2":"type-post","3":"status-publish","4":"format-standard","5":"has-post-thumbnail","7":"category-business","8":"category-enterprise","9":"category-smb","10":"tag-cadeia-de-suprimentos","11":"tag-macos","12":"tag-trojans","13":"tag-windows"},"hreflang":[{"hreflang":"pt-br","url":"https:\/\/www.kaspersky.com.br\/blog\/supply-chain-attack-on-3cx\/21004\/"},{"hreflang":"en-in","url":"https:\/\/www.kaspersky.co.in\/blog\/supply-chain-attack-on-3cx\/25459\/"},{"hreflang":"en-ae","url":"https:\/\/me-en.kaspersky.com\/blog\/supply-chain-attack-on-3cx\/20892\/"},{"hreflang":"en-us","url":"https:\/\/usa.kaspersky.com\/blog\/supply-chain-attack-on-3cx\/28063\/"},{"hreflang":"en-gb","url":"https:\/\/www.kaspersky.co.uk\/blog\/supply-chain-attack-on-3cx\/25758\/"},{"hreflang":"es-mx","url":"https:\/\/latam.kaspersky.com\/blog\/supply-chain-attack-on-3cx\/26141\/"},{"hreflang":"es","url":"https:\/\/www.kaspersky.es\/blog\/supply-chain-attack-on-3cx\/28597\/"},{"hreflang":"ru","url":"https:\/\/www.kaspersky.ru\/blog\/supply-chain-attack-on-3cx\/34955\/"},{"hreflang":"x-default","url":"https:\/\/www.kaspersky.com\/blog\/supply-chain-attack-on-3cx\/47698\/"},{"hreflang":"fr","url":"https:\/\/www.kaspersky.fr\/blog\/supply-chain-attack-on-3cx\/20381\/"},{"hreflang":"de","url":"https:\/\/www.kaspersky.de\/blog\/supply-chain-attack-on-3cx\/29961\/"},{"hreflang":"ja","url":"https:\/\/blog.kaspersky.co.jp\/supply-chain-attack-on-3cx\/33596\/"},{"hreflang":"ru-kz","url":"https:\/\/blog.kaspersky.kz\/supply-chain-attack-on-3cx\/26061\/"},{"hreflang":"en-au","url":"https:\/\/www.kaspersky.com.au\/blog\/supply-chain-attack-on-3cx\/31770\/"},{"hreflang":"en-za","url":"https:\/\/www.kaspersky.co.za\/blog\/supply-chain-attack-on-3cx\/31457\/"}],"acf":[],"banners":"","maintag":{"url":"https:\/\/www.kaspersky.com.br\/blog\/tag\/cadeia-de-suprimentos\/","name":"cadeia de suprimentos"},"_links":{"self":[{"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/posts\/21004","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/users\/2698"}],"replies":[{"embeddable":true,"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/comments?post=21004"}],"version-history":[{"count":3,"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/posts\/21004\/revisions"}],"predecessor-version":[{"id":21009,"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/posts\/21004\/revisions\/21009"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/media\/21006"}],"wp:attachment":[{"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/media?parent=21004"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/categories?post=21004"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/tags?post=21004"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}