Malware TRANSLATEXT: uma ameaça silenciosa de Kimsuky

Na cibersegurança, o surgimento de novas ameaças é um desafio constante. Uma dessas ameaças recentes é o malware TRANSLATEXT, uma ferramenta sofisticada empregada pelo famoso grupo de hackers norte-coreano Kimsuky . Aqui está uma análise aprofundada do TRANSLATEXT, o que ele pretende alcançar, como afeta os usuários e formas de proteção contra ele.

O que é malware TRANSLATEXT?

TRANSLATEXT é uma extensão maliciosa do Google Chrome projetada para se infiltrar e extrair informações confidenciais de dispositivos direcionados. Observado pela primeira vez no início de março de 2024, esse malware se disfarça como uma ferramenta benigna, dificultando a detecção de sua verdadeira natureza pelos usuários. Seus extensos recursos incluem a capacidade de coletar endereços de e-mail, nomes de usuário, senhas, cookies e capturas de tela do navegador.

A campanha que utiliza o TRANSLATEXT tem como alvo principal o meio académico sul-coreano, especificamente aqueles envolvidos em assuntos políticos norte-coreanos. Isto está alinhado com o modus operandi histórico do Kimsuky, um grupo de ciberespionagem norte-coreano ativo pelo menos desde 2012. Conhecido pelo seu foco na recolha de informações e ganhos financeiros, as atividades do Kimsuky são frequentemente dirigidas contra entidades sul-coreanas.

O que o malware TRANSLATEXT deseja?

O objetivo principal do malware TRANSLATEXT é facilitar a coleta de inteligência. Dispositivos de infiltração permitem que Kimsuky conduza vigilância e colete informações valiosas sobre funcionários acadêmicos e governamentais. Estes dados roubados podem incluir informações pessoais sensíveis, credenciais e insights sobre assuntos políticos e militares, que são altamente interessantes para as operações de inteligência norte-coreanas.

Kimsuky tem sido associado a uma variedade de ciberespionagem e ataques com motivação financeira. Fazem parte do Reconnaissance General Bureau (RGB), uma agência de inteligência militar norte-coreana, e estão associados a grupos notórios como o grupo Lazarus. Suas atividades recentes incluem a exploração de uma vulnerabilidade conhecida no Microsoft Office (CVE-2017-11882) para distribuir keyloggers e outras ferramentas de espionagem.

O que acontece quando os usuários encontram o malware TRANSLATEXT?

Quando um dispositivo é infectado pelo TRANSLATEXT, o malware opera silenciosamente em segundo plano, exfiltrando dados para um servidor remoto. A infecção normalmente começa com um arquivo ZIP contendo um documento do processador de texto Hangul e um arquivo executável, que os usuários podem encontrar por meio de táticas de spear-phishing ou engenharia social. Depois que o executável é iniciado, ele recupera um script do PowerShell de um servidor controlado pelo invasor. Este script reúne informações sobre o sistema comprometido e as carrega em um repositório GitHub, onde é baixado código malicioso adicional.

TRANSLATEXT se disfarça como uma extensão do Google Translate e incorpora JavaScript para contornar medidas de segurança de serviços como Google, Kakao e Naver. Ele captura capturas de tela do navegador, desvia credenciais e cookies e busca comandos de uma URL do Blogger Blogspot para executar outras ações maliciosas, como tirar capturas de tela de guias recém-abertas e excluir cookies do navegador.

Como proteger dispositivos contra malware TRANSLATEXT

A proteção contra TRANSLATEXT e malware semelhante requer uma abordagem multifacetada:

1. Seja cauteloso com anexos e links de e-mail : não abra anexos nem clique em links de fontes desconhecidas ou suspeitas. O spear-phishing é um método comum para espalhar malware como o TRANSLATEXT.
2. Use senhas fortes e exclusivas : empregar senhas fortes e exclusivas para contas diferentes pode limitar os danos se as credenciais forem comprometidas. Considere usar um gerenciador de senhas para controlar senhas complexas.
3. Mantenha o software atualizado : atualize regularmente seu sistema operacional, navegador e outros softwares para corrigir vulnerabilidades que o malware possa explorar.
4. Instale um software de segurança confiável : use um software de segurança abrangente para detectar e bloquear malware. Certifique-se de que ele seja atualizado regularmente para reconhecer as ameaças mais recentes.
5. Habilitar autenticação multifator (MFA) : A MFA adiciona outra camada de segurança, exigindo uma forma adicional de verificação, dificultando assim o acesso, mesmo que os invasores tenham sua senha.
6. Educar e treinar : Conscientizar é fundamental. Eduque você e outras pessoas sobre as táticas usadas pelos ciberataques, como phishing e engenharia social, para reduzir o risco de ser vítima desses esquemas.

Ao permanecerem informados e vigilantes, os usuários podem se proteger da ameaça silenciosa, porém significativa, representada pelo malware TRANSLATEXT e outras ameaças cibernéticas orquestradas por grupos como Kimsuky.