Malware Moserpass

O Moserpass é um novo tipo de malware ameaçador que foi detectada pelos pesquisadores de Infosec. A ameaça foi observada como parte de um novo ataque à cadeia de suprimentos. O ator de ameaça responsável pela operação tinha como alvo os clientes do gerenciador de senhas Passwordstate. Click Studios, o desenvolvedor do Passwordstate, afirmou que eles têm mais de 29.000 clientes espalhados por vários setores da indústria, como bancos, educação, manufatura, varejo, aeroespacial, saúde, governo e muito mais.

A Capacidade do Malware do Moserpass

A carga prejudicial disseminada durante o ataque foi o Malware Moserpass, anteriormente desconhecido. A principal funcionalidade da ameaça é coletar informações de sistemas comprometidos. Os dados do sistema coletados incluem nome do computador, nome de usuário, ID e nome do processo atual, nome de domínio, etc. Além disso, o Malware Moserpass obtém dados de vários campos na conta Passwordstate da vítima - nome de usuário, senha, título, notas, descrição, URL e dados de 'campos genéricos' específicos. Todas as informações coletadas são então exfiltradas para servidores remotos sob o controle do agente da ameaça. De acordo com Click Studios, os usuários que ativaram a opção de criptografar esses dados estão protegidos das atividades do malware Moserpass.

Características do Ataque à Cadeia de Suprimentos do Passwordstate

Se forem bem-sucedidos, os ataques à cadeia de suprimentos permitem que os agentes da ameaça alcancem e infectem uma quantidade significativa de sistemas sem ter que violar cada um individualmente. Em vez disso, os hackers comprometem as redes do desenvolvedor de um produto de software - o Passwordstate neste caso e, em seguida, injetam seu malware no aplicativo legítimo. Como resultado, sempre que os usuários atualizam o software, eles também recebem a carga útil ameaçadora.

Estima-se que o ataque do Passwordstate tenha durado 28 horas aproximadamente. Qualquer cliente que iniciou uma atualização dentro desse período de tempo foi potencialmente infectado pelo malware Moserpass. Os hackers conseguiram comprometer a funcionalidade de atualização in-loco do gerenciador de senhas. Posteriormente, eles conseguiram forçar o diretor de atualização armazenado no site da Click Studios a levar os usuários a uma rede de distribuição de conteúdo (CDN) corrompida que carregava o malware Moserpass em vez do CDN legítimo do desenvolvedor.