Criminosos estão a esconder-se dentro de uma aplicação real e assinada que o seu antivírus não vai questionar
A maior parte do malware tenta escapar ao seu antivírus. Uma campanha detalhada pela Malwarebytes a 11 de agosto faz algo mais inteligente: instala um programa que não é malware de todo. As páginas de download imitam nomes em que confiaria - a CNN, o fabricante de antivírus Avast, a aplicação multimédia Stremio - e o ficheiro que entregam é o O&O Syspectr, uma ferramenta de gestão remota genuína e digitalmente assinada, usada por equipas de informática para gerir computadores à distância. Por ser software legítimo e assinado, o antivírus deixa-o passar sem hesitar.
O senão está em quem segura a outra ponta. Os atacantes pré-registam as suas próprias contas Syspectr, por isso, assim que a sua cópia chega ao PC, esta liga-se silenciosamente a uma consola que eles controlam - dando-lhes acesso a ambiente de trabalho remoto e uma linha de comandos de administrador na sua máquina. A partir daí conseguem ler os seus ficheiros, instalar mais coisas e observar o que escreve. Os investigadores têm vindo a acompanhar este truque ao longo do ano todo: uma campanha distinta chamada SeasonalInvite, ativa desde janeiro, abusou de quatro ferramentas deste tipo - ConnectWise ScreenConnect, LogMeIn Resolve, Kaseya e O&O Syspectr - da mesma forma, precisamente porque um instalador validamente assinado passa incólume pelas verificações que apanham os vírus comuns.
A defesa não mudou, e é um hábito que vale a pena manter: obtenha software a partir do site do próprio fabricante, não de um resultado de pesquisa, de um anúncio ou de uma ligação que alguém lhe enviou. Se nunca andou à procura de uma ferramenta de gestão remota, não tem razão nenhuma para instalar uma - e se um programa como o Syspectr aparecer inesperadamente no seu PC, remova-o e mude as suas palavras-passe a partir de uma máquina em que confie.
É exatamente para este ponto cego que o Tendvane foi criado. A sua verificação de Segurança assinala programas que se instalaram silenciosamente ou que estão definidos para arrancar com o sistema - incluindo ferramentas legítimas mas inesperadas como esta - e as suas atualizações de aplicações passam pelo próprio gestor de pacotes do Windows (winget), em vez das falsas páginas de download em que esta burla se apoia.