Hackers usaram uma imagem do telescópio Webb para espalhar malware

Não faz muito tempo, uma imagem divulgada pela NASA circulou na rede. Foi uma das primeiras imagens obtidas pelo Telescópio James Webb. Ela foi descrita como ” a imagem infravermelha mais nítida do universo distante até hoje “. Mas pela última vez que ouvi, a foto foi supostamente usada por agentes maliciosos para uma campanha de malware.

Maus atores supostamente esconderam código malicioso no First Deep Field de James Webb. Foi a plataforma de análise de segurança chamada Securonix que identificou essa campanha de malware usando a imagem detalhada das galáxias. A empresa mais tarde chamou de: “GO#WEBBFUSCATOR”.

Como funciona o ataque em questão?

Tudo começa com um e-mail. Este último é na verdade um e-mail de phishing que contém um anexo do Microsoft Office. Nos metadados do documento está uma URL que baixa um arquivo com um script. Ele é executado desde que certas macros do Word estejam habilitadas.

Posteriormente, ele baixa uma cópia da famosa foto Deep Field de James Webb, aquela que contém código malicioso e finge ser um certificado. O problema é que, de acordo com o relatório de campanha feito pela Securonix, nenhum dos programas antivírus tem a capacidade de detectar o código malicioso contido na imagem.

Razões para usar a foto de James Webb

Augusto Barros, vice-presidente da Securonix, disse à Popular Science que existem várias razões pelas quais os maus atores optam por usar a imagem popular de James Webb. Uma dessas razões é que as imagens publicadas pela NASA são imagens de alta resolução e, portanto, grandes.

A segunda razão é que esta foto foi amplamente compartilhada online. Portanto, mesmo que um programa anti-malware o sinalize, os revisores podem ignorá-lo. Separadamente, a Securonix diz que a campanha de malware usa a linguagem de programação de código aberto cada vez mais popular do Google, Golang. Isso ocorre porque é mais difícil analisar e fazer engenharia reversa. A empresa acrescentou que a melhor maneira de evitar ser vítima desse ataque é não baixar anexos de fontes não confiáveis.

fonte