Uma campanha recentemente descoberta de malvertising está hospedando o kit de exploração Fallout em sites controlados por invasores, com nomes de domínio que implicam falsamente que eles fornecem informações úteis sobre o novo coronavírus.
O objetivo final é infectar as vítimas com o KPOT v2.0, um ladrão de informações e senhas, de acordo com a blog.post da equipe da Avast Threat Intelligence, cujos pesquisadores descobriram a operação.
A campanha está em exibição desde pelo menos 26 de março, quando atores mal-intencionados registraram o domínio covid19onlineinfo [.] Com, em uma tentativa de enganar as redes de anúncios para permitir que os invasores comprem espaço publicitário digital. Desde então, os adversários foram registrados aproximadamente seis novos domínios por dia, alternando entre eles em uma tentativa contínua de evitar proteções antivírus, afirma o relatório da publicação do blog.
Os anúncios maliciosos geralmente aparecem em sites de streaming. Quando os visitantes clicam em um botão para reproduzir um vídeo, os anúncios maliciosos iniciam uma nova guia que se abre para o domínio que hospeda o Fallout. Em seguida, o kit de exploração tenta abusar de vulnerabilidades que afetam versões desatualizadas do Internet Explorer, para instalar o KPOT sem o conhecimento da vítima.
“Ele tenta explorar uma vulnerabilidade no Adobe Flash Player (CVE-2018-15982, correção lançada em janeiro de 2019), que pode levar à execução arbitrária de código e a uma vulnerabilidade de execução remota no mecanismo VBScript que afeta várias versões do Windows (CVE-2018- 8174, correção lançada em maio de 2018). Isso pode causar uma falha no Internet Explorer, que é a única bandeira vermelha que o usuário pode observar ”, afirma o relatório da Avast.
O KPOT pode roubar e extrair informações – incluindo nomes de computadores, nomes de usuários do Windows, endereços IP, software instalado e GUIDs de máquinas -, além de cookies de contas, contas de várias senhas e dados de preenchimento automático.
Para reduzir o risco de ser vítima dessa ameaça, a Avast recomenda que os usuários instalem software antivírus; mantenha os sistemas operacionais, softwares e navegadores atualizados e desative o Flash quando possível, entre outras ações.
