Malware BackConnect rouba dados por meio do Microsoft Teams

Recentemente, revelaram que um ataque de malware, conhecido como BackConnect, aconteceu. Esse acontecimento chamou a atenção porque esse ataque aconteceu por meio de plataformas de comunicação, sendo o mais conhecido o Microsoft Teams. Por isso, nesse post nós vamos explicar um pouco sobre essa situação no geral.

O que é um malware?

Em suma, um malware é tipo de software malicioso que tem o objetivo de invadir, danificar ou roubar informações de dispositivos e redes. Sendo assim, há diversos tipos deles, como vírus, ransomware, spyware e trojans horses.

Dessa forma, esses ataques podem acontecer por meio de e-mails falsos, downloads suspeitos e até exploração de falhas em sistemas. Por conta disso, é comum recomendarmos que você mantenha seus dispositivos atualizados e evite clicar em links desconhecidos.

O que são técnicas de engenharia social?

A princípio, nesse contexto, os cibercriminosos usam as técnicas de engenharia social para manipular as pessoas e induzi-las a fornecer informações sensíveis ou realizar ações que comprometam a segurança do sistema. Sendo assim, ao invés de explorar brechas e falhas, essas técnicas exploram os nossos sentimentos, se aproveitando da confiança, da curiosidade ou do medo da vítima.

No entanto, no caso dos malwares, essas técnicas são phishing, falsas atualizações de software, arquivos infectados disfarçados de documentos e até abordagens em redes sociais ou plataformas corporativas. E, uma vez que o usuário cai no golpe, o malware se instala no sistema. Assim, permitindo que os cibercriminosos roubem seus dados ou tenham acesso remoto ao seu dispositivo.

Malware BackConnect rouba dados por meio do Microsoft Teams

Geral

Recentemente, diversos especialistas em segurança tem nos alertado para uma nova tática que vem acontecendo. Em suma, essa tática usa o malware BackConnect e explora diversas ferramentas de comunicação corporativa, como o Microsoft Teams nesse caso.

Dessa forma, os cibercriminosos conseguem mascarar atividdades criminosas dentro do trafego legítimo dessas redes. Além disso, se aproveitando de plataformas muito usadas, os invasores conseguiam extrair dados sigilosos e também preparar o terreno para ataques de ransomware e extorsões posteriores.

Ademais a isso, essa estratégia vem sendo relacionada a campanhas associadas outros ransomwares, como Black Basta e Cactus.

O que é BackConnect?

Em resumo, o BackConnect é um malware que permite que os cibercriminosos façam conexões reversas entre os sistemas comprometidos e os servidores de comando e controle. No entanto, diferentemente dos métodos tradicionais de acesso remoto, essa estratégia se aproveita de canais de comunicação legítimos para esconder a presença do invasor, o BlackConnect.

No caso do Microsoft Teams, os invasores usam o tráfego gerado, que normalmente passa por diversas verificações de segurança e firewalls, para encobrir a atividade maliciosa. Assim, o cibercriminoso consegue uma “porta dos fundos”. Ou seja, um canal de comunicação contínuo e discreto, que possibilita a extração de dados e o controle remoto do sistema. Tudo isso sem alertar os mecanismos de segurança da rede.

Sendo assim, o uso do BackConnect torna a detecção de intrusões mais difícil e complicado. Já que o tráfego infectado se mescla com fluxo de dados legítimos da plataforma.

Como funciona esse ataque?

O funcionamento desse ataque é dividido em várias fases, essas fases são:

1. Reconhecimento e vetorização inicial – os invasores fazem um levantamento detalhado do ambiente. Assim, identificando os pontos vulneráveis ou explorando a engenharia social para conseguir as credenciais de acesso. Essa etapa costuma envolver phishing ou a exploração de pontos fracos em sistemas e aplicativos.

2. Implantação do malware – uma vez que eles estabeleceram o acesso, eles instalam o BackConnect. Ele é configurado para operar de forma discreta, se integrando aos fluxos de comunicação do Microsoft Teams. Além disso, ele é projetado para evitar a detecção por antivírus e por sistemas de monitoramento. Ele faz isso usando técnicas de criptografia e camuflagem.

3. Estabelecimento da conexão reversa (BackConnect) – o malware ativa uma conexão reversa, conectando o sistema comprometido ao servidor de comando e controle. Essa conexão usa os protocolos e as rotinas próprias do Teams, o tornando indistinguível do tráfego legítimo. Dessa forma, os cibercriminosos conseguem enviar comandos remotamente, se movimentando lateralmente pela rede e coletando dados de forma contínua.

4. Movimentação lateral e extração de dados – com a conexão já estabelecida, os cibercriminosos podem acessar outras partes da rede, desativando os mecanismos de defesa e identificando informações valiosas. Já a extração dos dados é feita gradualmente, permitindo que evitem picos de tráfego suspeitos e se mantenham invisível às análises de comportamento.

5. Preparação para ransomware ou extorsão – em alguns casos, depois da coleta e da análise dos dados, os cibercriminosos podem optar por executar um ataque de ransomware. Assim, criptografando diversos arquivos críticos e exigindo um pagamento para sua liberação, ou usando os dados já exfiltrados para chantagem.

Qual é a relação desse ataque com outros ransomwares?

A integração do BackConnect outras campanhas de ransomware mostra a tendência crescente dos ataques de múltiplas fases e altamente integrados. Já que esses ataques permitem que os invasores mantenham acesso contínuo e disfarçado às redes comprometidas. Assim, garantindo uma conexão oculta, que facilita a preparação e execução dos ataques.

Além disso, antes de ativar o ransomware, os cibercriminosos costumam coletar e extrair dados sensíveis, e com isso eles aumentam seu valor de barganha durante a negociação para um resgate. Isto é porque a ameaça de vazamento dessas informações confidenciais causa pressão sobre as vítimas. E por conta dessa pressão, a maioria das vítimas optam por pagar o resgate e evitar outros prejuízos.

Além disso, alguns grupos de ransomware notórios, como os responsáveis pelos ataques Black Basta e Cactus, costumam combinar diferentes métodos de infiltração, sendo o BlackConnect um deles. Isto é porque o BackConnect, como dito anteriormente, permite que os cibercriminosos operem de forma invisível. Dessa forma, o impacto financeiro e operacional do ataque é maximizado.

Além disso tudo, a exploração de canais de comunicação também amplia imensamente o raio do ataque. Assim, possibilitando que não só comprometam os sistemas críticos, mas também aplicativos de colaboração e outras infraestruturas importantes. Desse modo, tornando a defesa contra esses ataques mais complicada para as organizações, e dificultando a resposta para incidentes.

Quem são os alvos até o momento?

Segundo as análises desses ataques, eles têm como foco principal organizações que tem uma grande dependência das ferramentas colaborativas e de comunicação, como o Microsoft Teams. Sendo assim, grandes corporações e empresas multinacionais estão entre principais os alvos até o momento. Já que elas possuem estruturas complexas e um grande volume de dados sensíveis importantes, que possuem um grande valor. Assim, a invasão desses sistemas pode dar acesso a informações estratégicas e confidenciais, que causam impactos significativos nos negócios.

Além disso, instituições governamentais e órgãos públicos são alvos desse ataque. Isto é porque essas entidades lidam com diversas informações críticas, e o comprometimento dessas informações pode gerar consequências graves para a segurança nacional e a administração pública.

Universidades e centros de pesquisa também são alvos, já que frequentemente usam essas plataformas de comunicação para a colaboração entre os pesquisadores e os alunos. Sendo assim, a vulnerabilidade dessas plataformas pode comprometer diversos projetos científicos e a integridade de dados acadêmicos.

Ademais a isso, empresas com segurança mais fracas também vem sendo exploradas. Já que essas organizações, que não possuem uma segurança eficaz, se tornam alvos fáceis. E o uso do BackConnect facilita a infiltração em redes pouco protegidas, aumentando a eficácia desses ataques.

Além disso, é importante destacar que, até o momento, os ataque focaram na América do Norte e na Europa. No entanto, é possível que a América do Sul se torne um alvo futuramente.

Como se proteger desse tipo de ataque?

Para evitar esse tipo de ataque, existem diversas medidas que você pode tomar para se proteger. Entre as medidas principais estão:

• Monitoramento e análise de tráfego avançado – implantar sistemas de detecção de intrusões e de prevenção são importantes. Principalmente aqueles que façam uma análise comportamental, identificando padrões anômalos dentro de tráfego legítimo.
• Fortalecimento do Microsoft Teams e outras ferramentas semelhantes – revisar e ajustar as configurações de segurança do Teams também é importante. Já que isso garante que só os usuários autenticados e autorizados tenham acesso a funcionalidades críticas. Além disso, implementar autenticação multifatorial também é importante para reduzir o risco de comprometimento das contas.
• Segmentação de rede e políticas Zero Trust – adotar uma arquitetura de rede segmentada, que restrinja a movimentação lateral, é importante para limitar a área de dano, caso ocorra um ataque. Além disso, usar o modelo Zero Trust também é muito recomendado, porque ele exige verificações constantes de identidade.
• Manutenção e atualizações frequentes – garantir que tudo esteja atualizado com os patches de segurança mais recentes também é recomendado. Além disso, também é importante realizar testes de penetração e auditorias regulares para identificar e corrigir pontos fracos.
• Capacitação e conscientização dos funcionários – fazer treinamentos sobre boas práticas de segurança é essencial. Isto é porque é importante saber reconhecer tentativas de phishing e outras técnicas de engenharia social. Além disso, estabelecer protocolos claros de resposta a incidentes, para que todos saibam o que fazer no caso de suspeita de invasão.
• Implementação de soluções de segurança especializadas – investir em tecnologias de Endpoint Detection and Response é recomendado, porque permitem a identificação precoce de comportamentos anômalos e respostas rápidas a ameaças. Além disso, integrar fontes de inteligência que consigam identificar padrões emergentes e a adaptar as defesas também é recomendado.

Essas medidas podem reduzir o risco de ataques desse tipo, além de limitar os danos em caso haja um ataque bem-sucedido.