DocuSign - Golpe de e-mail com documentos do departamento jurídico

E-mails inesperados podem representar riscos significativos de segurança cibernética, especialmente quando criam uma sensação de urgência e parecem originar-se de marcas confiáveis. Criminosos cibernéticos frequentemente exploram empresas conhecidas para fazer com que mensagens fraudulentas pareçam convincentes e aumentem a probabilidade de os destinatários interagirem com elas. O golpe do e-mail "DocuSign - Documento do Departamento Jurídico" é um exemplo disso. Esses e-mails não estão associados à DocuSign nem a qualquer empresa, organização ou entidade legítima. Em vez disso, fazem parte de uma campanha de spam maliciosa projetada para distribuir malware.

Solicitação de documento legal falso

Pesquisadores de cibersegurança analisaram esses e-mails e os identificaram como mensagens de spam (malspam) destinadas a enganar os destinatários para que baixem softwares maliciosos. Os e-mails geralmente chegam com o assunto "Supply Chain Regulatory Filing ID#SCR-392847" e alegam ser do Departamento Jurídico da DocuSign.

De acordo com a mensagem, um documento foi enviado para assinatura eletrônica e deve ser revisado em até três dias. Para reforçar a ilusão de legitimidade, o e-mail contém um botão "Revisar Documento" em destaque e oferece um "Método alternativo de assinatura" acompanhado de um código de segurança. Esses elementos são cuidadosamente elaborados para fazer com que a solicitação pareça autêntica e confiável.

Embora o DocuSign seja uma plataforma legítima de assinatura eletrônica, não possui qualquer ligação com esta campanha. Além disso, o endereço de e-mail do remetente provém de um domínio de terceiros não relacionado, e não do próprio DocuSign.

O verdadeiro propósito por trás do e-mail

O objetivo final do golpe é persuadir os destinatários a baixar um arquivo de imagem de disco ISO malicioso. Independentemente de as vítimas clicarem no botão fornecido ou seguirem as instruções alternativas, elas são direcionadas para obter o arquivo prejudicial.

Os arquivos ISO podem ser montados diretamente pelo Windows como unidades virtuais, o que os torna ferramentas atraentes para cibercriminosos. Os atacantes costumam usar esse formato porque ele pode, às vezes, contornar filtros de segurança que bloqueariam anexos maliciosos mais óbvios.

Após a montagem do arquivo ISO, ele revela um único arquivo executável chamado:

'NDA_Agreement_X7K9P2Q4R8V3M5N1Z6.DOC.vmp.exe'

O nome do arquivo é intencionalmente enganoso. A inclusão da extensão '.DOC' visa fazer com que o arquivo pareça ser um documento inofensivo do Microsoft Word. Na realidade, a extensão final '.exe' o identifica como um programa executável capaz de rodar código no computador da vítima.

O que acontece depois que o arquivo é aberto?

O malware exato distribuído por meio desta campanha ainda não foi identificado com certeza. No entanto, o arquivo pode instalar uma variedade de ameaças perigosas, incluindo ransomware, trojans bancários, ladrões de credenciais, keyloggers, trojans de acesso remoto (RATs) ou outras formas de software malicioso.

As possíveis consequências incluem:

• Roubo de nomes de usuário, senhas e informações financeiras.
• Roubo de identidade, perdas financeiras, acesso não autorizado ao sistema e criptografia de dados.

Como as capacidades do malware permanecem desconhecidas, qualquer interação com o executável deve ser tratada como um incidente de segurança grave.

Sinais de alerta que revelam o golpe

Apesar da aparência convincente da mensagem, vários indicadores sugerem atividade fraudulenta. O e-mail apela fortemente à urgência, impondo um prazo de três dias para a análise do documento. Também faz referência a um identificador de processo judicial para criar uma sensação de importância e pressionar os destinatários a agirem rapidamente sem verificar a solicitação.

O uso de uma marca confiável, como a DocuSign, é outra tática comum de engenharia social. Os cibercriminosos sabem que os usuários tendem a confiar mais em serviços familiares, principalmente quando a mensagem parece profissional e contém detalhes como códigos de verificação ou instruções de assinatura.

O que fazer se você receber este e-mail

Os destinatários devem evitar interagir com a mensagem de qualquer forma. A abordagem mais segura é excluir o e-mail imediatamente e não abrir anexos, clicar em links, baixar arquivos ou seguir quaisquer instruções contidas na mensagem.

Quem já baixou ou executou o arquivo deve desconectar o dispositivo afetado da rede, se possível, e realizar uma verificação completa usando um antivírus ou software de segurança de endpoint confiável. Senhas potencialmente comprometidas também devem ser alteradas em um dispositivo limpo, principalmente se contas sensíveis puderem ter sido expostas.

Como as campanhas de spam disseminam malware

A campanha com o tema DocuSign é apenas um exemplo de uma tendência mais ampla no cibercrime. E-mails de spam maliciosos continuam sendo um dos métodos mais comuns de distribuição de malware. Os atacantes costumam disfarçar conteúdo prejudicial como faturas, avisos legais, atualizações de entrega, alertas de conta ou documentos comerciais.

Os formatos comuns de distribuição de malware incluem arquivos ZIP e RAR, arquivos executáveis, documentos PDF, arquivos do Microsoft Office, scripts e formatos de imagem de disco, como arquivos ISO e IMG. Alguns arquivos maliciosos iniciam o processo de infecção assim que são abertos, enquanto outros exigem ações adicionais do usuário, como habilitar macros, extrair conteúdo compactado ou executar programas incorporados.

Considerações finais

O golpe por e-mail "DocuSign - Documento do Departamento Jurídico" demonstra como os cibercriminosos combinam a falsificação de uma marca confiável, mensagens com temática jurídica e urgência artificial para atrair vítimas e induzi-las a executar malware. Embora a mensagem possa parecer autêntica à primeira vista, seu verdadeiro objetivo é infectar sistemas e potencialmente comprometer informações confidenciais. Manter uma postura cautelosa em relação a e-mails não solicitados, especialmente aqueles que solicitam ação imediata ou downloads de arquivos, continua sendo uma das defesas mais eficazes contra essas ameaças.