Uma sofisticada campanha de phishing está utilizando mensagens privadas no LinkedIn para disseminar Cavalos de Troia de acesso remoto (RAT) em empresas de diversos segmentos. O ataque, identificado pela empresa de segurança ReliaQuest, tira proveito de uma vulnerabilidade estratégica: a falta de monitoramento das redes sociais pelas equipes de TI corporativas.
Como o golpe é articulado
Diferente dos ataques massivos por e-mail, os criminosos utilizam a engenharia social para conquistar a confiança de profissionais estrategicamente selecionados (vítimas de alto valor). O contato inicial simula propostas de emprego ou parcerias legítimas.
Após estabelecer um diálogo, o invasor envia um arquivo WinRAR autoextraível (SFX), alegando conter documentos do projeto. Ao ser aberto, esse arquivo libera quatro componentes:
- Um leitor de PDF legítimo;
- Uma biblioteca maliciosa (DLL maliciosa);
- O interpretador de linguagem Python;
- Um arquivo RAR com documentos falsos para manter a aparência de normalidade.
Técnicas avançadas de ocultação
A campanha utiliza o Sideloading de DLL, uma técnica que faz com que um programa confiável (neste caso, o leitor de PDF) execute o código malicioso. Como o processo parte de um aplicativo assinado digitalmente, a maioria dos antivírus não emite alertas.
Além disso, o ataque apresenta características técnicas de alta evasão:
- Execução em memória: O código final (shellcode) é executado diretamente na memória RAM, sem ser gravado no disco rígido, o que evita rastros para perícias forenses.
- Persistência: O malware cria uma chave no Registro do Windows para garantir que o acesso seja reiniciado automaticamente a cada login da vítima.
- Escala de privilégios: Uma vez dentro da máquina, os hackers podem se mover lateralmente pela rede da empresa, buscando servidores de dados, backups e controladores de domínio.
Redes sociais: O “ponto cego” das empresas
A ReliaQuest destaca que o LinkedIn tornou-se um alvo recorrente. Grupos de hackers (incluindo agentes da Coreia do Norte) já utilizaram métodos similares, como as campanhas CryptoCore e Contagious Interview.
O perigo reside no fato de que, enquanto o e-mail corporativo possui filtros rigorosos e gateways de segurança, as mensagens diretas em redes sociais chegam ao funcionário sem inspeção. A confiança do usuário em perfis com conexões em comum facilita a queda no golpe.
Recomendações de proteção
Para mitigar os riscos, as organizações devem:
- Expandir as defesas: Implementar sistemas de EDR (Endpoint Detection and Response) capazes de detectar comportamentos anômalos em processos legítimos.
- Treinamento: Instruir funcionários a jamais baixar ou executar arquivos de recrutadores não verificados.
- Políticas de TI: Restringir a execução de scripts e interpretadores (como Python) em máquinas que não necessitam dessas ferramentas para o trabalho.
