Ataque cibernético motivado financeiramente visa grandes empresas mexicanas e exchanges de criptomoedas

A divisão de pesquisa e inteligência da Blackberry alertou sobre um ciberataque motivado financeiramente que visa exchanges de criptomoedas mexicanas de alto patrimônio, bancos e grandes empresas com mais de US$ 100 milhões em receita bruta.

Os atacantes foram rastreados até o México e acredita-se que estejam baseados na América Latina.

Metodologia de ataque sofisticada

O relatório da Blackberry destaca o uso de uma ferramenta de acesso remoto de código aberto chamada AllaKore RAT pelos atores da ameaça. Esta ferramenta é fortemente modificada para permitir o roubo de informações sensíveis do usuário, incluindo credenciais bancárias e dados de autenticação exclusivos. 

As informações roubadas são transmitidas para um servidor de comando e controle (C2), facilitando a fraude financeira.

Uma das características notáveis deste ciberataque é seu método de infiltração. Os atacantes visam instalar o AllaKore RAT em computadores e bancos de dados operados pelas empresas, muitas vezes ocultando suas ações por trás de esquemas de nomenclatura oficiais e links. 

Esse método permitiu que eles contornassem a suspeita dos funcionários, tornando-se uma ameaça desafiadora de detectar.

O escopo dessa ameaça cibernética se estende além do setor financeiro. Embora as exchanges de criptomoedas e os bancos tenham sido os principais alvos, grandes corporações mexicanas de vários setores também foram vítimas desses ataques. 

Esses setores incluem varejo, agricultura, setor público, manufatura, transporte, serviços comerciais e bens de capital.

Grandes empresas mexicanas sob o radar

Os atacantes preferem grandes empresas com receita bruta superior a US$ 100 milhões. Essas empresas reportam diretamente ao Instituto Mexicano de Segurança Social (IMSS), tornando-as alvos atraentes. 

Os cibercriminosos foram observados usando endereços IP da Starlink no México, confirmando ainda mais seu foco em entidades mexicanas.

À medida que os refinam suas táticas, novas iterações do AllaKore RAT empregam um processo de instalação mais complexo. O malware é entregue às organizações-alvo dentro de um arquivo instalador de software da Microsoft. 

O malware é executado apenas após confirmar que a vítima está localizada no México, indicando um alto grau de sofisticação em sua abordagem.

Conexão latino-americana

Instruções em espanhol dentro do payload do RAT modificado sugerem que o ator da ameaça responsável por esses ataques está baseado na América Latina. Essa conexão regional adiciona mais complexidade à investigação e destaca a necessidade de cooperação internacional para abordar essa ameaça cibernética.

Dada a natureza em evolução dessa ameaça cibernética, é crucial que as organizações, especialmente aquelas nos setores visados, tomem medidas proativas para proteger seus sistemas e dados. 

Essas medidas podem incluir o aprimoramento dos protocolos de cibersegurança, a implementação de sistemas robustos de detecção de intrusão e o fornecimento de treinamento em cibersegurança para os funcionários, ajudando-os a reconhecer possíveis ameaças.

Esforços colaborativos

Abordar essa ameaça cibernética requer esforços colaborativos dos setores privado e público. As empresas afetadas por esses ataques devem trabalhar em estreita colaboração com agências de aplicação da lei e especialistas em cibersegurança para investigar e mitigar os danos.

Além disso, compartilhar inteligência sobre ameaças e melhores práticas dentro da comunidade empresarial pode ajudar a fortalecer as defesas contra futuros ataques.