Ataques de phishing estão ficando cada vez mais sofisticados

Hackers estão usando retorno de chamada para distribuir software de acesso remoto

Os ataques de phishing estão em constante evolução e as versões mais recentes são as mais perigosas até agora, sugere um novo relatório.

Pesquisadores de segurança cibernética da Trellix descobriram recentemente uma versão avançada do estilo de ataque de retorno de chamada que, se executado com sucesso, rouba o dinheiro das vítimas, bloqueia seus computadores com ransomware e rouba dados de identidade no processo.

Os ataques de retorno de chamada são exatamente como parecem: os golpistas ligam de volta para a vítima e dão o golpe final por telefone.

Baixando o (anti)vírus

Esta campanha em particular começa da maneira usual, com um e-mail. A vítima recebe um e-mail de confirmação de uma compra que nunca fez, que inclui um número de telefone que a pessoa pode usar para “cancelar” o pedido.

Normalmente, é aqui que um invasor atacaria, usando o telefonema para atrair a vítima para baixar o software de acesso remoto e, em seguida, usar esse acesso para instalar malware, ransomware ou outros vírus.

Esta campanha, no entanto, vai um passo além. Quando as vítimas ligam para o número fornecido, a pessoa do outro lado afirma ter verificado o banco de dados e informa que o e-mail é spam. Em seguida, eles sugerem que o computador da vítima está infectado com um vírus e informam que um “especialista técnico” entrará em contato no final do dia.

O segundo telefonema leva a vítima a baixar falsos programas antivírus em seu computador, que distribui um executável ClickOnce chamado support.Client.exe, que instala a ferramenta de acesso remoto ScreenConnect.

“O invasor também pode mostrar uma tela de bloqueio falsa e tornar o sistema inacessível para a vítima, onde o invasor pode executar tarefas sem que a vítima esteja ciente delas”, disse Trellix.

Os pesquisadores também descobriram algumas variantes da campanha, uma das quais distribui formulários de cancelamento falsos por meio dos quais as vítimas compartilham seus dados pessoais. Para receber o reembolso, as vítimas precisam fazer login em sua conta bancária. Eles acabam sendo enganados para enviar dinheiro para os golpistas.

“Isso é alcançado bloqueando a tela da vítima e iniciando uma solicitação de transferência e, em seguida, desbloqueando a tela quando a transação requer uma OTP (One Time Password) ou uma senha secundária”, detalhou Trellix.

"A vítima também é apresentada com uma página de sucesso de reembolso falso para convencê-lo a acreditar que recebeu o reembolso. O golpista também pode enviar um SMS para a vítima com uma mensagem de dinheiro falso recebido como uma tática adicional para evitar que a vítima suspeite de qualquer fraude."