_{Fig. 8 - Verificação de antivírus}

Verificação de VM e BIOS

_{Fig. 9 - Verificação de VM e BIOS}

Verificação do sistema operacional e idioma do OS

_{Fig. 10 - Verificação do sistema operacional e idioma do OS}

_{Fig. 11 - Verificação do sistema operacional e idioma do OS (continuação)}

Se todos os critérios acima forem atendidos, ele cria uma pasta na rede HOMEDRIVE e baixa o executável AutoIt e o script codificado na pasta, criando um atalho para essa pasta na inicialização:

_{Fig 12 - Executável AutoIT}

A imagem acima mostra três URLs, que ao serem acessadas, soltam arquivos em uma localização de rede do sistema:

Hxxps://45[.]40.96.231/AutoIt3 – Script AutoIt
Hxxps://45[.]40.96.231/AutoIt3.exe – Executável AutoIt
Hxxps://45[.]40.96.231/jama1crt – Algum arquivo de dependência responsável pela atividade maliciosa

A partir daqui, cria um atalho que é executado na inicialização:

_{Fig. 13 - Atalho executa na inicialização}

Script AutoIt codificado e decodificado e análise:

_{Fig. 14 - AutoIt encoded header (see top left)}

Script Decodificado

O script decodificado é grande com muitas verificações, principalmente realizando injeção de processos na memória. Uma parte do script decodificado mostra a injeção em um arquivo PE que começa com o cabeçalho 0x4D5A para arquivo Executável, seguido por uma conversão BinaryToString do código hexadecimal responsável por carregar DLL na memória e invocar sua função exportada:

_{Fig. 15 - Script Decodificado}

Ao executar o arquivo codificado AutoIt e o autoit.exe junto com o arquivo de dependência jama1crt mencionado acima, é gerado um arquivo de despejo de memória. Ao analisar estaticamente o arquivo de despejo de memória, descobrimos que ele novamente continha um arquivo AutoIt incorporado:

_{Fig. 16 - Arquivo de despejo de memória contém AutoIt}

Este script codificado realiza o restante da injeção na memória utilizando processos como ALLOCATEEXESPACE, UNMAPVIEWSECTION, ALLOCATEEXESPACEATADDRESS e injeta código malicioso em um dos processos legítimos da Microsoft, mobsync.exe:

_{Fig. 17 - Injeção de código malicioso no mobsync}

_{Fig. 18 - Injeção de código malicioso no mobsync (continuação)}

Alguns comportamentos importantes realizados pelo malware que vale a pena notar: 1) Verifica o idioma e a localização do sistema 2) Adiciona informações do processador ao registro para detectar sandboxing e 3) Verifica informações do sistema

Após a execução e a injeção maliciosa no mobsync.exe, ele se conecta a C2s maliciosos fornecendo informações importantes, como Nome do Computador, Informações do Sistema, Detalhes do Usuário e do administrador, e outras informações importantes.

Conclusão:

O malware é distribuído através de URLs geo-restritas incorporadas no e-mail, com o principal objetivo de roubar as credenciais do sistema da vítima ao infectar o sistema da vítima com injeção de processos usando o script e ferramentas AutoIt. As URLs funcionam principalmente nas regiões da América do Norte e América do Sul com a intenção de roubar informações bancárias e atuar como trojans bancários ou infostealers.

Uma vez acessada a partir do e-mail, a URL baixa um arquivo de arquivo que contém um arquivo .HTA. O arquivo HTA então se conecta a uma URL maliciosa e realiza uma série de atividades, incluindo a navegação de JS codificado através do navegador. Posteriormente, resulta na liberação do script AutoIt, executável e payload de dependência.

Quando todos são executados juntos, eles realizam injeção de processos na memória do sistema. Sendo evasivo por natureza, o arquivo executa verificações no idioma do sistema, localização e outras variáveis de ambiente. Após a execução bem-sucedida, ele se conecta a C2s maliciosos fornecendo informações sensíveis aos atacantes.

Informações Adicionais:

Durante o trabalho na campanha, foi observado que, além de seguir o padrão mencionado anteriormente, também rouba informações ativamente por técnicas de phishing e diretamente ao liberar executáveis em arquivo de arquivo.

Declaração de Proteção

Os clientes da Forcepoint estão protegidos contra esta ameaça nas seguintes etapas do ataque:

Etapa 2 (Isca) – Entregue via URL armada incorporada em um e-mail. E-mails e URLs incorporadas são bloqueados por análises de e-mail, análises da web, respectivamente, e Análises de Segurança em Tempo Real.
Etapa 3 (Redirecionamento) – Redirecionamentos identificados para baixar vários payloads são categorizados e bloqueados sob classificação de segurança.
Etapa 5 (Arquivo Dropper) – Os arquivos dropper são adicionados ao banco de dados de malware da Forcepoint e são bloqueados.
Etapa 6 (Call to Action) – O malware entra em contato com servidores de comando e controle (C&C) para fornecer dados sensíveis do usuário, que são categorizados e bloqueados sob classificação de segurança.

Indicadores de Compromisso:

Padrão de URL inicial	https:\/\/\d{2,3}\.\d{2,3}\.\d{2,3}\.\d{2,3}\.host\.secureserver\.net
Arquivos HTA	37768083ff57e77850667394e0d27e8717e3eb35 c76eff517bd7c5e6d1f8ede73e9d260195e42c42 354b48288f2cc0eeefef2011e5ab38a7cb20fbf7 70ebed2ed13a350e59faa5c254ee099e2653c61e d3402ca43a7ebf6f2b944bf83e62261312761c53
Arquivo VBS	8ae1dfa8e9544c0b9a6079aa18708f5fe5a82ee5 4114fb23a7211f0721f87947e8b5b5258f5ed47a 8655717e2a3ced90d352a7faf2586a73cefea7d8
JScript Ofuscado	e156707c3ee3c40ca64f66447c5e36de3ae90eba
Script AutoIt	c1e2c1fddec0ed9676ed8ce38dbaf2006b50a31e
URLs	hxxp://45.40.96[.]231/AutoIt3 hxxp://45.40.96[.]231/AutoIt3.exe hxxp://45.40.96[.]231/jama1crt hxxps://www.rekemchiwdnas.com\/jm1 hxxps:// 198.148.167[.]72.host.secureserver.net/OQQst11/gV7Pus771.js hxxps://198.148.167[.]72.host.secureserver.net/ VFb51.vbs
C2s	www.rekemchiwdnas[.]com jpmorgan-fisrt.homelinux[.]com

Forcepoint DSPM

Forcepoint DDR

Forcepoint DLP

Forcepoint Web Security

Forcepoint Cloud App Security

Risk-Adaptive Protection

Forcepoint DLP for Email

Data Classification

NGFW

SD-WAN

Forcepoint DSPM + DDR

Como Proteger Seus Dados em Todos os Lugares

Veja nosso software Data Detection & Response (DDR) em ação

Forcepoint Data Security Cloud

Evite a Perda de Dados

Compliance Readiness

Segurança de dados para IA

AI Data Classification

Prontidão unificada contra violações e incidentes

Protect Data in ChatGPT

Governança de acesso a dados

Automatize a proteção contra riscos internos

Segurança abrangente de e-mail

Segurança BYOD

Proteja o Microsoft 365 e o Copilot

Data Risk Mitigation

Serviços Financeiros

Saúde

Manufacturing

Retail

Setor Público

Agrupamento de uma forma que ninguém mais pode fazer

Precisão e relatórios transparentes

Blogs

Vídeo

Webcasts

Podcasts

Relatórios de Analistas

Histórias de clientes

Biblioteca de Recursos

Treinamentos e Certificações

Cyber EDU

GUIA

Guia Prático do Executivo para Data Loss Prevention

GUIA

Forcepoint AI Mesh

RELATÓRIO DO ANALISTA

Gartner: 2025 Market Guide for Data Loss Prevention

RISK ASSESSMENT

Receba um Data Risk Assessment gratuito

Nossa Abordagem

Nossos Clientes

Forcepoint x Varonis

Forcepoint x Cyera

Sobre nós

Sala de Imprensa

Trabalhe Conosco

Contato

Forcepoint Trust Hub

O VAKIFBANK Fortalece a Postura de Segurança e os Relatórios de Conformidade

O Eczacıbaşı Holding Amplia a Segurança para a Nuvem para Proteger funcionários remotos

A Communisis Moderniza seu Forcepoint DLP com Risk-Adaptive Protection

Research Blogs & Insights

Perigos Ocultos por Trás de URLs Evasivos do Secureserver.net

Prashant Kumar

Ameaças Usam APIs do Telegram para Coletar Credenciais

Hassan Faizan

Encurtador de URL em um arquivo do Microsoft Word que leva ao Remcos RAT

Hassan Faizan

Viajantes Online em Risco: Ataques de Malware Agent Tesla à Indústria de Viagens

Mayur Sewani & Prashant Kumar