Os invasores de phishing agora estão usando várias contas de e-mail para iniciar conversas em grupo

Não, os cientistas nucleares não estão enviando e-mails para você, eles são hackers

Os hackers patrocinados pelo Estado iraniano criaram um novo truque desprezível para levar as pessoas a baixar anexos maliciosos, alertam os pesquisadores.

Os especialistas em segurança cibernética da Proofpoint descobriram que o agente da ameaça TA453, supostamente vinculado ao Corpo da Guarda Revolucionária Islâmica (IRGC), está envolvido em “representação de várias pessoas” ou “sock-puppeting” para fazer as vítimas fazerem o download malware.

Em outras palavras, eles estão conversando por e-mail consigo mesmos, enquanto permitem que as vítimas ouçam os lados, antes de induzi-los a baixar um arquivo que nem foi necessariamente enviado a eles.

Fingindo uma conversa

Veja como funciona: os invasores criariam várias contas de e-mail falsas, roubando as identidades de cientistas, diretores e outros indivíduos importantes. Em seguida, eles enviavam um e-mail de um dos endereços para o outro, fazendo uma cópia da vítima no processo. Um ou dois dias depois, eles responderiam a esse e-mail, do segundo endereço que também pertence a eles.

Dessa forma, a vítima, essencialmente apanhada no meio de uma discussão de e-mail, poderia baixar a guarda e obter uma falsa sensação de legitimidade sobre a coisa toda. Após um breve vaivém, um dos participantes enviaria um anexo para outros participantes e, se a vítima fizesse o download e o executasse em seu terminal, obteria um arquivo .DOCX repleto de informações perigosas macros.

A maior bandeira vermelha nesta campanha é o fato de que todos os e-mails usados ​​no ataque são criados nos principais provedores de e-mail, como Gmail, Outlook ou Hotmail, em vez de estarem nos domínios das instituições personificadas.

"O modelo baixado, apelidado de Korg pela Proofpoint, tem três macros: Module1.bas, Module2.bas e ThisDocument.cls", explicaram os pesquisadores. “As macros coletam informações como nome de usuário, lista de processos em execução junto com o IP público do usuário de my-ip.io e, em seguida, extraem essas informações usando a API do Telegram”.

Embora não pudessem verificar, os pesquisadores acreditam que os agentes de ameaça se envolvem em exploração adicional mais adiante.