Trojan.CobaltStrike.GT

Trojan.CobaltStrike.GT é um Trojan para Windows com nível de perigo 8 em 10. De acordo com os dados do feed, ele se instala furtivamente e roda silenciosamente em segundo plano. O nome sugere uma ligação com o Cobalt Strike, uma ferramenta amplamente utilizada indevidamente por atacantes. O feed não informa como essa amostra é usada na prática, portanto, os detalhes além dos dados abaixo descrevem o comportamento típico de um Trojan.

O que a ameaça faz

A descrição diz que o Trojan funciona silenciosamente em segundo plano e executa funções maliciosas. Ele pode dar aos hackers controle total sobre um sistema infectado. A descrição também diz que ele pode excluir arquivos de forma oculta, mas o texto é cortado logo em seguida, portanto, a lista completa de ações não é conhecida.

A amostra analisada apresenta as seguintes características técnicas:

• Uma DLL nativa do Windows de 64 bits que exporta funções (não é um aplicativo .NET).
• Criado como um arquivo de subsistema de console e não compactado.
• Sem assinatura digital, sem informações de depuração e sem informações de realocação.
• Chama diretamente funções de baixo nível do sistema em ntdll.dll, incluindo funções para gravar arquivos, consultar e liberar memória virtual e consultar informações do processo.

O uso direto de chamadas de sistema de baixo nível é comum em softwares que tentam evitar ferramentas de monitoramento, embora o feed não especifique o propósito neste caso. Dos 16 blocos de código analisados, 11 foram sinalizados como potencialmente maliciosos e 5 foram incluídos na lista de permissões. Nenhum era desconhecido.

Geralmente é assim que chega aos computadores.

O feed diz que esse cavalo de Troia geralmente chega de uma destas maneiras:

• Explorando vulnerabilidades do sistema e falhas de segurança.
• Por meio de downloads de software de sites maliciosos.
• Por meio de anexos de e-mail provenientes de fontes não confiáveis, geralmente arquivos .exe, .pif, .avi e até mesmo .jpg.

Disfarçar um arquivo malicioso como uma imagem ou vídeo é um truque típico para fazer com que as pessoas o abram.

Riscos para o usuário

O principal perigo é a perda de controle sobre o computador. Se um invasor obtiver acesso total, as consequências típicas desses cavalos de Troia incluem:

• Roubo de dados pessoais, senhas e informações financeiras.
• Exclusão ou adulteração de arquivos.
• Instalação de outros malwares.
• Utilização do computador como ponto de partida para atacar outros dispositivos na mesma rede.

Esses resultados são típicos de ameaças de acesso remoto e não foram confirmados para esta amostra específica, exceto pelo controle e exclusão de arquivos mencionados na descrição.

Sinais de infecção

O Trojan foi projetado para permanecer oculto, portanto, pode não apresentar sintomas óbvios. Os sinais de alerta típicos para esse tipo de ameaça incluem:

• Lentidão inexplicável ou alta atividade da CPU ou da rede.
• Arquivos que desaparecem ou são alterados sem explicação.
• Processos desconhecidos ou arquivos DLL em execução.
• As configurações de segurança estão sendo alteradas sem a sua intervenção.
• Conexões de saída inesperadas.

Como os sintomas costumam estar ausentes, uma verificação completa com uma ferramenta antimalware atualizada e confiável é a maneira mais segura de fazer a detecção.

Como se manter protegido

1. Mantenha o Windows e todos os softwares instalados atualizados, pois o Trojan pode explorar falhas conhecidas.
2. Baixe softwares somente de fontes oficiais e evite sites desconhecidos.

Se suspeitar de uma infecção, desconecte o computador da internet, execute uma verificação completa e altere suas senhas importantes em um dispositivo limpo. Se o computador contiver dados confidenciais, considere a ajuda de um profissional, pois o controle remoto total pode ter sido concedido a um invasor.