FBI alerta que hackers estão a enviar às empresas Pens USB com malware pelo correio

O truque é velho, mas a engenharia social continua a ter sucesso quando é necessário contornar as medidas de segurança para colocar malware nos sistemas. Segundo o FBI, o FIN7, um infame grupo de cibercrime que está por detrás das operações de ransomware Darkside e BlackMatter, enviou nos últimos meses dispositivos USB maliciosos a empresas americanas na esperança de infetar os seus sistemas com malware e realizar futuros ataques.

Os hackers enviam dispositivos BadUSB “contaminados” pelo correio na esperança de que as pens sejam ligadas aos computadores empresariais e, dessa forma, possibilitem a intrusão nos sistemas para efetuarem o roubo de dados.

FBI alerta: Hackers querem infetar as empresas com ransomware

O método é recorrer à ingenuidade, à distração e à curiosidade para levar um operador a colocar uma pen USB infetada com malware para lançar nos sistemas das empresas ransomware. Posteriormente, depois dos hackers terem acesso a informação dos sistemas, das base de dados e do armazenamento dos backups, o parque informático é encriptado e é solicitado um resgate. Este é o modus operandi convencional.

Desde agosto de 2021, o FBI tem recebido relatórios de vários pacotes contendo estes dispositivos USB, enviados para empresas americanas das indústrias de transporte, seguros e defesa.

Disse o FBI num alerta de segurança enviado ontem a diversas organizações.

Este tipo de material está a ser enviado pelo correio tradicional. A forma tem como intenção parecer o mais banal possível. Sem um esquema ardiloso por trás, aparentemente, o pacote aparece com indicações relacionadas à COVID-19.

Há duas variações de pacotes – aqueles que imitam o HHS [Departamento de Saúde e Serviços Humanos dos EUA] são frequentemente acompanhados por cartas que fazem referência às diretrizes COVID-19 anexadas com uma pen USB. Depois há a outra versão que imita a Amazon ao enviar uma caixa de presente decorativa contendo uma carta de agradecimento fraudulenta, um cartão de presente falso, e um USB.

Acrescentou a declaração do Federal Bureau of Investigation.

Em ambos os casos, as embalagens continham dispositivos USB com a marca LilyGO.

Malware nas Pens USB traz vários tipos de malware

O hackers usam vários métodos para “estudar” os comportamentos dos utilizadores, assim como os sistemas de segurança. Querem saber hábitos de trabalho, palavras-passe, rotinas de backups e até pormenores sobre a vida dos operadores dos computadores. A ideia é criar uma conjuntura de ataque que envolva todos os hipotéticos cenários.

Segundo o FBI, se os destinatários ligassem as unidades USB aos seus computadores, os dispositivos executariam um ataque BadUSB, onde a unidade USB se registaria como um teclado e enviaria uma série de toques automáticos pré-configurados de teclas para o PC do utilizador.

Estas teclas executariam comandos PowerShell que descarregariam e instalariam vários tipos de malware que atuariam como backdoors para os atacantes nas redes das vítimas.

Em casos investigados pelo FBI, a agência disse ter visto o grupo obter acesso administrativo e depois deslocar-se lateralmente para outros sistemas locais.

[Os] intervenientes FIN7 utilizaram então uma variedade de ferramentas – incluindo Metasploit, Cobalt Strike, PowerShell scripts, Carbanak, GRIFFON, DICELOADER, TIRION – e implantaram ransomware, incluindo BlackMatter e REvil, na rede comprometida.

Acrescentou a agência americana.

No caso mais recente destes ataques, o grupo visou também uma empresa da indústria de defesa dos EUA ainda em novembro de 2021, utilizando o truque da carta de agradecimento da Amazon, detalhado acima.

Isto marca o segundo alerta que o FBI endereçou sobre o envio de dispositivos USB maliciosos FIN7 a empresas americanas.

Estas tentativas de intrusão começaram no início do ano de 2020 e continuam a chegar às empresas, segundo reporta o FBI.

Em março desse ano, a empresa de segurança Trustwave denunciou uma dessas tentativas de ataque através de um dispositivo BadUSB enviado a um dos seus clientes, uma cadeia de hotéis dos EUA.

Leia também:

Sites do jornal Expresso e da SIC “hackeados” por ransomware