ForceCopy Stealer: A ameaça furtiva que visa dados do navegador da Web

Uma nova ferramenta no arsenal de um notório grupo de hackers

Especialistas em segurança cibernética descobriram uma ameaça cibernética sofisticada conhecida como forceCopy Stealer, uma ferramenta de coleta de informações implantada em ataques direcionados. Este ladrão está vinculado ao Kimsuky , um grupo de hackers bem documentado que se acredita ser afiliado aos serviços de inteligência da Coreia do Norte. Relatórios recentes indicam que o Kimsuky tem aproveitado técnicas de phishing para distribuir o forceCopy Stealer, com foco na obtenção de dados confidenciais de usuários armazenados em navegadores da web.

Como os invasores implantam o forceCopy Stealer

O método de entrega do forceCopy Stealer gira em torno de e-mails enganosos criados para parecerem legítimos. Esses e-mails geralmente incluem um anexo disfarçado de documento do Microsoft Office ou PDF, que na realidade é um arquivo de atalho do Windows (LNK). Depois que o destinatário abre o arquivo, ele ativa scripts maliciosos via PowerShell ou mshta.exe da Microsoft — ambos são ferramentas legítimas do sistema, frequentemente exploradas para fins não autorizados.

Após a execução desses scripts, payloads adicionais são recuperados de uma fonte externa. Os invasores então implantam outras ferramentas junto com o forceCopy Stealer, incluindo um trojan bem conhecido chamado PEBBLEDASH e uma versão modificada de um utilitário de Remote Desktop de código aberto chamado RDP Wrapper. Esses componentes trabalham em conjunto para estabelecer acesso de longo prazo a sistemas comprometidos.

A função principal do forceCopy Stealer

Em sua essência, o forceCopy Stealer é projetado para extrair dados de locais específicos associados a navegadores da web. O alvo principal parece ser os arquivos de configuração do navegador, que podem conter credenciais de login armazenadas. Ao focar nesses diretórios, a ferramenta contorna certas restrições de segurança que protegem contra técnicas convencionais de roubo de credenciais. Como os navegadores da web geralmente armazenam senhas e outras informações confidenciais para conveniência do usuário, um invasor com acesso a esses arquivos poderia potencialmente recuperar detalhes de login para vários serviços online.

Implicações das atividades do ladrão de força

A implantação do forceCopy Stealer levanta preocupações sobre as implicações mais amplas para a segurança cibernética. Os dados roubados do navegador podem ser explorados de várias maneiras, incluindo acesso não autorizado a contas, fraude de identidade ou outros ataques direcionados. Além disso, como o stealer é usado junto com outras ferramentas maliciosas, como keyloggers e sistemas de comunicação baseados em proxy, indivíduos ou organizações afetados podem enfrentar riscos de segurança de longo prazo.

Uma mudança notável nas táticas de Kimsuky é o uso de ferramentas como RDP Wrapper e proxy malware, que permitem que os invasores mantenham acesso persistente a máquinas comprometidas. Isso representa uma evolução em seus métodos, afastando-se de backdoors usados anteriormente em favor de uma abordagem mais modular e adaptável.

Uma ameaça persistente e em evolução

Kimsuky, também conhecido por pseudônimos como APT43 e Emerald Sleet, está ativo há mais de uma década. Eles frequentemente empregam táticas de engenharia social para contornar medidas de segurança. Sua capacidade de adaptar campanhas de phishing e explorar ferramentas legítimas para propósitos maliciosos os tornou uma ameaça persistente no cenário de segurança cibernética.

Descobertas recentes sugerem que o grupo continua a refinar seus métodos, com o forceCopy Stealer sendo a mais recente adição ao seu arsenal. A ênfase no roubo de dados do navegador destaca um interesse contínuo em credenciais, potencialmente para espionagem ou ganho financeiro. Esse desenvolvimento ressalta a necessidade de os usuários permanecerem vigilantes contra tentativas de phishing e acesso não autorizado a dados.

Fortalecendo as defesas contra o roubo de dados do navegador

Dado o uso crescente de armazenamento de credenciais baseado em navegador, é importante implementar medidas de proteção contra ameaças como forceCopy Stealer. Os usuários devem ser cautelosos ao lidar com anexos de e-mail, especialmente aqueles de fontes desconhecidas. As organizações devem reforçar os protocolos de segurança de e-mail e monitorar atividades suspeitas que podem indicar tentativas de acesso remoto não autorizado.

Ao entender como o forceCopy Stealer opera e as táticas empregadas por grupos como o Kimsuky, todos podem tomar medidas proativas para proteger seus ativos digitais e reduzir o risco dessas ameaças cibernéticas.