Uma nova ameaça informática denominada Edgecution está a utilizar uma extensão maliciosa do navegador da Microsoft para contornar o isolamento do sistema e instalar código malicioso nos computadores das vítimas. De acordo com a investigação publicada pela Zscaler, este ataque sofisticado explora funcionalidades legítimas de comunicação para implementar uma porta traseira em linguagem Python, abrindo caminho para a posterior implantação de ransomware nas infraestruturas afetadas.
Falsos suportes técnicos através de ferramentas de trabalho
O ponto de entrada desta ameaça começa com táticas de engenharia social focadas no ambiente corporativo. Os atacantes fazem-se passar por membros da equipa de suporte informático através de plataformas de comunicação de trabalho, direcionando os colaboradores para uma página fraudulenta. O pretexto utilizado é a necessidade urgente de instalar uma atualização para o filtro de correio eletrónico indesejado.
Na página falsa, que simula uma consola oficial de atualizações, as vítimas encontram botões para descarregar os supostos pacotes de software. Na realidade, ao interagir com estes elementos, o utilizador está a executar scripts ocultos que preparam o ambiente local, extraem ficheiros de um arquivo manipulado para contornar programas de proteção e criam uma tarefa agendada para iniciar o navegador de forma furtiva. Para quem trabalha em empresas portuguesas com políticas de teletrabalho ou formato híbrido, este vetor de ataque reforça a necessidade de validar sempre internamente qualquer pedido não habitual de instalação de software, mesmo que pareça ter origem num departamento conhecido.
A exploração do protocolo de mensagens nativas
O aspeto mais crítico da ameaça Edgecution reside na forma como foge às restrições normais do sistema operativo. O ataque utiliza o protocolo de mensagens nativas, uma funcionalidade desenhada para permitir que extensões legítimas interajam com aplicações instaladas no computador, semelhante ao método utilizado pelos gestores de palavras-passe para preencher formulários web.
A extensão maliciosa funciona numa versão do navegador sem interface gráfica, tornando-se completamente invisível no ecrã da vítima. Através do referido protocolo de comunicação, a extensão liga-se aos servidores externos de controlo e reencaminha as instruções para a porta traseira instalada localmente.
Este mecanismo secundário recebe as ordens e executa as ações na máquina comprometida, que incluem a execução de comandos no terminal, recolha de informações do sistema e listagem de processos ativos, até à escrita de novos ficheiros. Os peritos de segurança associam esta operação a grupos de extorsão que vendem o acesso inicial a outras redes criminosas, recomendando às organizações um controlo mais rigoroso e centralizado sobre as permissões das extensões autorizadas nos computadores de trabalho.
Nenhum comentário
Seja o primeiro!