O Laboratório de Pesquisa da Eset, empresa de detecção proativa de ameaças, identificou um grupo de ciberespionagem que roubou e usou certificados digitais de empresas de tecnologia taiwanesas, como a D-Link e a Changing Information Technologies.
A empresa descobriu a campanha de malware quando seus sistemas detectaram vários arquivos suspeitos. Eles foram assinados digitalmente usando um certificado válido para a assinatura do código pertencente à D-Link Corporation. O que foi identificado é que o mesmo certificado foi usado para assinar um software legítimo da D-Link, que evidenciou a possibilidade de o certificado ter sido roubado.
A análise identificou duas famílias de malware diferentes que usavam de maneira indevida o certificado roubado. Isso ocorria por meio de um malware Plead, backdoor controlado remotamente, e também por meio de um componente malicioso relacionado a um programa para roubar senhas. A ferramenta de roubo é usada para coletar senhas armazenadas em aplicativos como o Google Chrome, o Microsoft Internet Explorer, o Microsoft Outlook e o Mozilla Firefox.
O uso indevido de certificados digitais é uma das muitas maneiras com as quais os cibercriminosos escondem suas intenções maliciosas, pois os certificados roubados permitem camuflar o malware e dar a aparência de um aplicativo legítimo, aumentando as chances de o código malicioso burlar medidas de segurança sem levantar suspeitas.
A capacidade de envolver várias empresas de tecnologia baseadas em Taiwan e reutilizar o certificado de assinatura de código em ataques futuros mostra que o grupo é altamente qualificado e se concentra principalmente nessa região.
Após confirmar a natureza maliciosa dos arquivos, a Eset notificou a D-Link, que iniciou sua investigação sobre o assunto. Como resultado, a D-Link recuperou o certificado digital comprometido em 3 de julho de 2018.
Juntamente com a amostra Plead assinada com o certificado D-Link, os pesquisadores da Eset também identificaram amostras assinadas nas quais foi usado um certificado pertencente a uma empresa de segurança taiwanesa conhecida como Changing Information Technology Inc. O certificado foi revogado em 4 de julho de 2017, mas o grupo BlackTech continua a usá-lo para assinar suas ferramentas maliciosas.
A Ericsson está comemorando 100 anos no Brasil. Uma história de transformação não só da…
A Genial Investimentos anunciou uma atualização significativa de seu aplicativo, projetada para unificar investimentos, crédito,…
A União Europeia lançou formalmente uma investigação contra a Meta, empresa responsável pelas plataformas de…
A OpenAI enfrenta mais uma reviravolta em sua liderança com a renúncia de Jan Leike,…
A Blue Origin, empresa aeroespacial liderada pelo bilionário Jeff Bezos, está pronta para retomar seu…
Mais de 60% das empresas estão ampliando os orçamentos destinados à análise preditiva e à…