Pesquisadores de segurança da Resecurity identificaram uma nova ameaça cibernética denominada PDFSIDER. O vírus foi projetado para garantir acesso furtivo e persistente a sistemas comprometidos, utilizando técnicas avançadas para contornar softwares de proteção e manter uma conexão de longo prazo com os invasores.
O método de infecção: o falso “PDF24 App”
O ataque é disseminado através de spear-phishing (e-mails direcionados), que entregam um arquivo ZIP contendo um executável legítimo e assinado digitalmente. O arquivo utiliza o nome “PDF24 App” para simular uma ferramenta conhecida de criação de PDFs. Ao ser executado, o programa não abre nenhuma interface para o usuário, mas inicia silenciosamente suas operações em segundo plano.
Como o PDFSIDER burla a segurança
A principal estratégia do malware é o Sideloading de DLL. Os criminosos exploram uma vulnerabilidade no aplicativo de PDF para forçá-lo a carregar uma biblioteca maliciosa chamada cryptbase.dll em vez da versão original do Windows. Como o processo nasce de um software assinado e “confiável”, o vírus consegue enganar antivírus comuns e até soluções robustas de detecção de endpoints (EDRs).
Dentre as características técnicas de alta complexidade, destacam-se:
- Comunicação Criptografada: O vírus utiliza a biblioteca Botan com criptografia AES-256-GCM, garantindo que as mensagens trocadas com o servidor dos hackers sejam confidenciais e quase impossíveis de interceptar.
- Operação Invisível: Comandos são executados via
cmd.exesem janelas visíveis, e o tráfego de dados é mascarado como tráfego de DNS comum (porta 53) através de servidores virtuais (VPS). - Anti-análise: O malware verifica os níveis de memória para detectar se está rodando em máquinas virtuais ou ambientes de teste (sandboxes). Se notar que está sendo analisado, ele interrompe o funcionamento imediatamente.
Alvos Específicos e Espionagem
Diferente de vírus comuns que buscam atingir o maior número possível de pessoas, o PDFSIDER é uma ameaça direcionada. As “iscas” utilizadas para convencer as vítimas a abrir os arquivos incluem documentos falsos que simulam relatórios internos de órgãos de inteligência da China, sugerindo que o foco dos ataques são indivíduos com acesso a informações sensíveis ou estratégicas.
