Blackmoon malware: campanha de phishing fiscal ameaça usuários
Blackmoon malware ressurge em uma nova campanha de phishing que finge ser a Receita Federal da Índia para instalar um backdoor de múltiplas etapas, permitindo espionagem contínua e roubo de dados.
Como o golpe funciona
Pesquisadores da eSentire identificaram e-mails que imitam notificações de multa do Departamento de Imposto de Renda indiano. A mensagem traz um arquivo ZIP com cinco itens ocultos e um executável visível, “Inspection Document Review.exe”. Ao ser aberto, o programa realiza DLL sideloading para carregar código malicioso que, em seguida, baixa novo payload de um servidor externo.
Essa segunda fase aplica técnicas de bypass ao UAC (User Account Control) para obter privilégios de administrador e altera seu PEB (Process Environment Block) para se disfarçar de “explorer.exe”, dificultando a detecção.
Ferramentas e táticas de persistência
O shellcode baixa o arquivo “180.exe” do domínio “eaxwwyr[.]cn”. Trata-se de um instalador Inno Setup configurado para verificar se o Avast Free Antivirus está ativo. Caso esteja, o malware simula cliques de mouse para adicionar arquivos maliciosos à lista de exclusão do antivírus sem desativá-lo.
Entre esses arquivos está “Setup.exe”, utilitário legítimo da chinesa SyncFutureTec que grava “mysetup.exe” no disco. Este último corresponde ao SyncFuture TSM (Terminal Security Management), ferramenta corporativa legítima que, nas mãos dos invasores, vira uma estrutura completa de controle remoto, gravação de atividades e exfiltração de informações.
Imagem: Internet
Scripts em lote ajustam permissões de pastas e criam diretórios customizados, enquanto o executável “MANC.exe” gerencia serviços e habilita registro detalhado de eventos. A combinação de antianálise, escalonamento de privilégios e uso de softwares legítimos repaginados demonstra o objetivo claro de manter acesso duradouro ao sistema comprometido.
Para mais detalhes técnicos, o relatório completo está disponível no site da The Hacker News, referência internacional em segurança da informação.
Quer aprofundar seu conhecimento em proteção de dados e manter seu setup seguro? Visite nossa editoria e acompanhe as atualizações diárias.
Crédito da imagem: The Hacker News Fonte: The Hacker News
