Os desenvolvedores de malware estão cada vez mais usando linguagens de programação “exóticas” como Go, Rust, DLang e Nim para criar código malicioso que pode escapar da detecção de segurança por ferramentas e adicionar uma camada de ocultação de ataque, de acordo com um relatório divulgado pela BlackBerry.
Os pesquisadores da empresa descobriram que os desenvolvedores de malware estão criando uma nova gama de carregadores e droppers (programas maliciosos projetados para introduzir outros malwares em dispositivos) usando essas quatro linguagens para fornecer ou disfarçar Trojans (trojans) de acesso remoto, ou RATs (Acesso Remoto Trojan), bem como versões maliciosas de ferramentas legítimas, como Cobalt Strike, para vítimas potenciais, diz o relatório.
Ainda de acordo com o documento, em muitos casos, os operadores de ameaças recorrem a essas linguagens para evitar a detecção e ocultar um ataque. “Cada uma dessas linguagens é relativamente nova e tem poucas ferramentas de análise totalmente compatíveis”, observam os pesquisadores do BlackBerry.
O relatório também observa que o malware mais antigo escrito em linguagens tradicionais como C ++ e C # está ganhando terreno com droppers e carregadores escritos em linguagens exóticas. Normalmente, o malware mais antigo é armazenado criptografado no primeiro estágio, usando XOR, RC4, AES ou outros métodos de criptografia e criptografia.
Em vez de reescrever ou recompilar malware mais antigo, mas ainda eficaz, os invasores agora estão “envolvendo” esse código malicioso em um dropper ou loader escrito em uma das linguagens mais recentes, que pode se infiltrar no malware em dispositivos ou redes vulneráveis, evitando a detecção por vários sistemas de sistemas de ferramentas, observam os pesquisadores do BlackBerry.
O relatório observa que, embora os ataques estejam adotando cada vez mais linguagens como Rust e DLang, a maioria das ferramentas maliciosas que os pesquisadores examinaram foram escritas em Go, a linguagem de código aberto originalmente desenvolvida pelo Google e oficialmente lançada para desenvolvedores em 2012.
Os desenvolvedores, assim como os cibercriminosos, recorreram ao Go, também conhecido como Golang, por sua facilidade de uso, confiabilidade e eficiência, de acordo com o relatório. “A linguagem Go pode ser compilada para todos os principais sistemas operacionais, bem como Android, JavaScript e WebAssembly”, observam os pesquisadores. “Engenheiros de software e autores de malware migraram para essa linguagem, não apenas por razões estilísticas. O suporte do Google para o projeto também aumentou sua popularidade, assim como o número de bibliotecas que foram disponibilizadas. ”
O malware desenvolvido com Go inclui ElectroRAT, um RAT projetado para roubar criptomoedas de carteiras digitais, e Ekans, ou Snake, um tipo de ransomware que pode atacar redes de TI, bem como sistemas de controle industrial, de acordo com pesquisadores.
Alguns grupos estão usando linguagens de programação mais recentes como parte de um esforço para ocultar melhor seus ataques. Por exemplo, um grupo de ameaças conhecido como TA800 usou a linguagem Nim para criar um carregador chamado NimzaLoader, que normalmente é entregue às vítimas em um e-mail de phishing que contém um anexo malicioso, observa o relatório. Depois de instalado, o NimzaLoader se conecta a um servidor de comando e controle e tenta entregar malware secundário, como Cobalt Strike.
Fonte: CisoAdvisor
