DevilsTongue Malware
O DevilsTongue Malware é uma ameaça modular escrita em C e C ++. O DevilsTongue Malware possui vários recursos complexos de ofuscação e persistência que tornam a ameaça mais difícil de se detectar e analisar. Por exemplo, a principal funcionalidade do DevilTongue está contida em arquivos .DLL que são criptografados no disco e descriptografados apenas na memória. O mecanismo de persistência do malware garante que a DLL da ameaça seja carregada pelo processo svchost.exe sem deixar nenhuma alteração perceptível na funcionalidade do sistema comprometido.
Uma vez estabelecido, o DevilsTongue pode ser executado no modo de usuário ou kernel e pode realizar diversas ações prejudiciais. Ele pode coletar arquivos escolhidos, executar comandos WMI, consultar bancos de dados SQLite e o Registro do sistema. Além disso, o malware é capaz de coletar credenciais do LSASS (Serviço do Subsistema de Autoridade de Segurança Local) e de um número selecionado de navegadores da Web populares. Ele também pode acessar cookies de vários navegadores, incluindo o Chrome, Firefox, Safari, Yandex, Opera e muito mais. O DevilsTongue também está equipado com uma funcionalidade dedicada que descriptografa e, em seguida, extrai as conversões do aplicativo de mensagens criptografadas Signal.
Como o DevilsTongue Se Distribui
Nos estágios iniciais de sua cadeia de ataques, o DevilsTongue explora vulnerabilidades do navegador entregues por meio de URLs corrompidos espalhados por serviços de mensagens como o WhatsApp. A Microsoft, auxiliada pela organização de direitos humanos Citizen Lab, lançou correções para duas vulnerabilidades de dia zero anteriormente desconhecidas rastreadas como CVE-2021-31979 e CVE-2021-33771. Ambos levam ao aumento ilegal de privilégios do Kernel do Windows no sistema.
A Microsoft e o Citizen Lab acreditam que um 'ator ofensivo do setor privado' (PSOA) chamado Sourgum está por trás dos ataques do DevilsTongue. A identidade das vítimas revela que aproximadamente metade está localizada na Palestina, sendo um número significativamente menor de Israel, Irã, Espanha e Reino Unido. O Citizen Lab determinou que a Sourgum é baseada em Israel e seus clientes incluem agências governamentais de vários países diferentes.
