WatchGuard deteta campanhas de malware dirigidas a Portugal com falsas faturas

A WatchGuard identificou campanhas de distribuição de malware que utilizam falsas faturas e comprovativos de pagamento para atingir utilizadores e organizações em Portugal. A investigação, conduzida pela equipa WatchGuard Red Cell, analisou três operações que recorrem a ficheiros VBScript (VBS), técnicas de phishing e aplicações legítimas para contornar mecanismos de segurança.

Segundo a fabricante, duas das três campanhas apresentam uma concentração de vítimas em Portugal, recorrendo a mensagens e páginas web em português para aumentar a credibilidade dos ataques. Os cibercriminosos utilizam documentos associados a pagamentos como isco, procurando levar as vítimas a descarregar ou executar ficheiros que iniciam cadeias de infeção.

Lampion distribuído através de falsos comprovativos

Uma das campanhas identificadas está associada ao Lampion, um trojan bancário de origem brasileira. O ataque começa com e-mails de phishing que incluem ficheiros ZIP com nomes como “Comprovativo”, procurando simular documentação financeira legítima.

A cadeia de infeção encaminha a vítima para um script VBS alojado em serviços de cloud, incluindo AWS S3 e Google Drive. A utilização destas plataformas permite aos atacantes recorrer a infraestruturas legítimas para distribuir componentes maliciosos.

Após a execução, o malware estabelece mecanismos de persistência e instala um trojan de acesso remoto (RAT), que pode permitir o controlo do equipamento comprometido e o roubo de informação.

A segunda campanha utiliza uma página fraudulenta em português, identificada como “Download Seguro - Factura”, que apresenta um falso captcha para induzir o download de um ficheiro ISO.

Este ficheiro contém um script VBS ofuscado e um executável legítimo da VMware, utilizado para carregar uma DLL maliciosa através da técnica de DLL side-loading. A operação estabelece posteriormente uma ligação a um servidor localizado no Brasil.

Ferramentas legítimas utilizadas para escapar à deteção

A investigação revela que os atacantes combinam diferentes mecanismos de evasão para dificultar a identificação da atividade maliciosa. Entre as técnicas observadas estão a ofuscação de scripts, o carregamento de DLL através de aplicações legítimas e a alteração das exclusões do Microsoft Defender.

Estas abordagens permitem explorar a confiança atribuída a componentes conhecidos do sistema operativo, reduzindo a probabilidade de determinados comportamentos serem imediatamente classificados como suspeitos.

“Os cibercriminosos estão a adaptar as suas iscas ao público português: usam a nossa língua, imitam documentos do dia a dia, como faturas e comprovativos, e escondem-se atrás de serviços e aplicações em que todos confiamos”, afirma Euler Neto, analista de malware da WatchGuard Red Cell, em comunicado.

O investigador acrescenta que os ficheiros recebidos pelas vítimas representam apenas a primeira etapa de cadeias de infeção concebidas para contornar as ferramentas tradicionais de segurança.

A terceira campanha analisada distribui o Overlord RAT e tem como principal alvo o mercado brasileiro. Apesar de não apresentar a mesma concentração de vítimas em Portugal, partilha técnicas com as operações associadas ao Lampion, demonstrando como os mesmos métodos podem ser reutilizados em diferentes mercados.

WatchGuard recomenda reforço da monitorização dos endpoints

Entre os principais indicadores de atividade suspeita, a WatchGuard destaca a execução inesperada de scripts VBScript ou PowerShell, alterações às exclusões do Microsoft Defender, criação de tarefas agendadas desconhecidas e ligações a infraestruturas externas não reconhecidas.

A fabricante recomenda que os utilizadores confirmem a autenticidade de faturas e comprovativos inesperados, sobretudo quando são distribuídos em ficheiros ZIP, ISO ou VBS. A validação deve ser feita diretamente junto da entidade que alegadamente enviou a documentação.

Para as organizações e fornecedores de serviços geridos, a investigação reforça a importância de combinar proteção contra phishing, deteção baseada no comportamento e monitorização contínua dos endpoints.

A WatchGuard sublinha que a utilização de serviços de cloud e aplicações legítimas nestas campanhas demonstra a necessidade de analisar não apenas os ficheiros descarregados, mas também os processos executados e as alterações efetuadas nos sistemas.