Investigadores afirmam que o ataque terá feito parte de uma operação mais vasta para roubar criptomoedas e credenciais de acesso, enganando utilizadores com uma falsa verificação do Google.
Um ciberataque suspeito, que recorre a verificações CAPTCHA falsas para atingir um organismo governamental ucraniano, foi ligado a Moscovo, segundo um novo relatório (fonte em inglês).
PUBLICIDADE
PUBLICIDADE
A gigante tecnológica norte-americana Cisco afirmou que os seus investigadores de cibersegurança detetaram atividade invulgar nos sistemas informáticos do organismo em abril, sustentando “com confiança moderada” que um agente de ameaça russo levou a cabo o ataque.
Os investigadores da Cisco identificaram no sistema malware conhecido como Amatera, capaz de roubar informação sensível.
Segundo a empresa, o malware foi igualmente usado para instalar software que podia dar a um atacante acesso ao computador, incluindo a capacidade de consultar ficheiros, transferir dados e executar comandos.
A Cisco concluiu que o software estava configurado para se ligar a um servidor com um endereço IP localizado na Rússia.
O relatório não conseguiu confirmar se alguma informação chegou a ser roubada ao organismo ucraniano, se os piratas informáticos utilizaram efetivamente esse acesso ou de que forma o computador foi inicialmente infetado.
Os investigadores da Cisco avaliaram, contudo, que o ataque fazia parte de uma operação mais vasta destinada a roubar criptomoedas e credenciais.
“Não foi possível determinar o que desencadeou a cadeia de execução”, lê-se no relatório.
Verificações CAPTCHA usadas como armadilhas
No sistema ucraniano, os investigadores da Cisco detetaram um ficheiro malicioso dissimulado com o nome “verification.google”, mas não conseguiram identificar o que tinha levado à sua execução.
Para perceberem como poderá ter começado a infeção na Ucrânia, procuraram ataques semelhantes e descobriram outra infeção envolvendo o mesmo malware Amatera.
Desta vez, conseguiram rastreá-la até sites comprometidos que exibiam versões falsas da verificação CAPTCHA da Google, usada para distinguir visitantes humanos de bots automatizados.
Mas, em vez de simplesmente pedir aos utilizadores que assinalassem uma caixa ou identificassem imagens, a verificação falsa instruía-os a abrir uma janela no computador e colar texto que iria executar o malware.
Nessa infeção, o Amatera foi também usado para instalar um programa concebido para roubar criptomoedas.
O programa podia monitorizar os endereços de carteiras de criptomoedas copiados pelas vítimas e substituí-los por endereços controlados pelos atacantes, desviando potencialmente pagamentos.
A Cisco afirma que as semelhanças entre as infeções sugerem que o ataque contra a Ucrânia poderá ter começado da mesma forma.
No entanto, os investigadores não conseguiram confirmar que as duas infeções começaram da mesma maneira nem que foram conduzidas pelo mesmo grupo.