Variantes do Malware Zloader Banking Retornam Repentinamente
Os especialistas em segurança estão avisando que uma das campanhas de malware mais prolíficas e notórias até agora pode estar voltando para uma outra rodada. No final de 2019, os pesquisadores da Proofpoint descobriram campanhas por email com a versão mais recente do famoso malware bancário Zeus. Em 2020, a empresa viu mais de cem campanhas desse tipo com alvos na Austrália, Canadá, Alemanha, Polônia e Estados Unidos.
O Zeus apareceu em 2006 pela primeira vez, sendo usado para roubar credenciais e informações através de injeções na web. O malware foi usado para atingir instituições financeiras em geral. Ele também pode roubar senhas e cookies armazenados no navegador. Ele usa o cliente VNC (Virtual Network Computing) para fazer transferências ilegais de dinheiro do dispositivo do usuário.
O Malware Zloader/Sphinx
A Proofpoint observou que, bem como o original, o Zloader (também conhecido como Sphinx) usa uma estrutura de dados chamada 'BaseConfig' para armazenar a configuração inicial. Também é capaz de implantar medidas anti-análise para impedir os pesquisadores de engenharia reversa de detectar a sua presença. Isso inclui seqüências de caracteres criptografadas, código indesejado, lista negra do C&C, ofuscação repetitiva e hash de função da API do Windows.
A campanha fez uso de iscas, tais como aviso de golpes do Coronavírus ou a alegação de fornecer informações sobre centros de teste e tratamento. Os e-mails contêm arquivos do Word ou arquivos do Excel protegidos por senha com folhas atadas com macros para baixar e executar o Zloader.
Desde 2006, existem 25 versões do malware, mas a mais recente é uma variante de uma das versões mais antigas. Segundo os pesquisadores, os descendentes do malware o Zeus bancário têm sido amplamente utilizados em crimes cibernéticos desde aquele ano.
Cerca de dois anos após a última atividad do Zloader vista em 2018, a Proofpoint detectou campanhas que compartilhavam funcionalidade e tráfego de rede com o Zloader original nas campanhas 2016-2018. A análise delas mostrou que faltava na nova linhagem a criptografia de seqüência de caracteres, a ofuscação do código e alguns dos recursos mais avançados vistos no malware original. Essa nova variedade de malware não parece ser uma continuação direta da versão mais recente do Zloader de 2018, mas sim uma derivada de uma versão anterior.