Pesquisadores descobrem trojan bancário disfarçado de instalador do Chrome

Pesquisadores da Trend Micro descobriram um malware disfarçado de instalador do Chrome. O objetivo da ameaça é roubar informações e ela afeta principalmente internautas peruanos de brasileiros.

O instalador do browser serve como uma espécie de “máscara” para a ação maliciosa. “Recentemente, foram encontradas algumas URLs suspeitas, que sugerem que um arquivo malicioso chamado “ChromeSetup.exe” esteja hospedado em domínios como Facebook e Google”, afirmaram os pesquisadores.

A maioria dos domínios parece estar atrelada ao Brasil (já eles terminam em .br), mas todos eles redirecionam suas vítimas para dois outros endereços IP, de onde fazem o download do arquivo malicioso, que é um trojan bancário multicomponente.

Uma vez baixado e executado, o malware contata um servidor C&C entre os quais há um intercâmbio de informações sobre o endereço IP e o sistema operacional do computador infectado, e a partir do qual ele baixa um arquivo de configuração. Esse arquivo é usado para redirecionar os usuários para sites bancários muito bem falsificados, quando os usuários tentam visitar os sites legítimos.

Além disso, o trojan desinstala o GbPlugin, um software usado para proteger clientes brasileiros quando eles fazem transações bancárias online. O interessante é a desinstalação é feita por uma ferramenta legítima, originalmente criada para desinstalar software malicioso.

Ao analisar o painel C&C antes que o servidor ficasse inacessível, os pesquisadores descobriram que aproximadamente três mil máquinas foram infectadas com o trojan bancário em apenas três horas.

Outras análises mostraram que diferentes variantes do mesmo trojan foram liberadas de forma aleatória, e que os cibercriminosos por trás desse esquema estariam se beneficiando dele há um bom tempo.

Com informações de Help Net Security