Segurança - Mais e mais malwares estão sendo escondidos em imagens PNG, então cuidado

 

O artigo original explica com mais detalhes:

https://www.bleepingcomputer.com/news/security/worok-hackers-hide-new-malware-in-pngs-using-steganography/

Pesquisadores encontraram evidências de novos agentes de ameaças usando arquivos PNG para entregar cargas maliciosas.

Tanto a ESET quanto a Avast confirmaram que um agente de ameaças chamado Worok está usando esse método desde o início de setembro de 2022.

Aparentemente, Worok estava ocupado visando vítimas de alto perfil, como organizações governamentais no Oriente Médio, Sudeste Asiático e África do Sul.

Ataque em vários estágios

O ataque é um processo de várias etapas no qual os agentes de ameaças usam o sideload de DLL para executar o malware CRLLoader, que por sua vez carrega a DLL PNGLoader, que é capaz de ler código ofuscado escondido em arquivos PNG.

Esse código é traduzido para o DropBoxControl, um infostealer .NET C# personalizado que abusa da hospedagem de arquivos do Dropbox para comunicação e roubo de dados. Esse malware parece oferecer suporte a vários comandos, incluindo a execução de cmd /c, lançamento de um executável, download e upload de dados para e do Dropbox, exclusão de dados de endpoints de destino, configuração de novos diretórios (para cargas adicionais de backdoor) e extração de informações do sistema.

Dado seu kit de ferramentas, os pesquisadores acreditam que Worok é o trabalho de um grupo de ciberespionagem que opera silenciosamente, gosta de se mover lateralmente pelas redes de destino e rouba dados confidenciais. Também parece usar suas próprias ferramentas proprietárias, pois os pesquisadores não observaram ninguém usando-as.

O Worok usa a codificação Least Significant Bit (LSB), incorporando pequenos bits de código malicioso nos bits menos significativos de pixels da imagem, disse.

A esteganografia parece estar ganhando popularidade como tática de cibercrime. Da mesma forma, pesquisadores da Check Point Research (CPR) encontraram recentemente um pacote malicioso no repositório baseado em Python PyPI que usa uma imagem para proliferar um malware de cavalo de Tróia(abre em nova aba) chamado apicolor, que usa principalmente o GitHub como método de distribuição.

O pacote aparentemente inofensivo baixa uma imagem da Internet e, em seguida, instala ferramentas adicionais que processam a imagem e aciona a saída de processamento gerada com o comando exec.

Um desses dois requisitos é o código Judyb, um módulo de esteganografia capaz de revelar mensagens ocultas em imagens. Isso levou os pesquisadores de volta à imagem original, que acaba sendo o download de pacotes maliciosos da Internet para o endpoint da vítima.(abre em nova aba).

Via: BleepingComputer(abre em nova aba)

Source link