A Kaspersky descobriu uma campanha sofisticada de malware que distribui o SambaSpy, trojan de acesso remoto (RAT), que tem como alvo clientes de bancos italianos. Esse malware é capaz de controlar webcams, roubar senhas e acessar remotamente os sistemas das vítimas. A investigação também revelou que o esquema tem vínculos com o Brasil, já que o código malicioso contém mensagens em português brasileiro, sugerindo uma possível origem do país dos criminosos.
Diferente da maioria dos ataques de malware, que forma uma ampla rede de alvos englobando vários países e idiomas, a campanha SambaSpy destaca-se por sua precisão. O malware foi projetado para infectar apenas usuários cujos sistemas estão definidos para o italiano, garantindo a máxima probabilidade de sucesso na Itália. De acordo com a telemetria da Kaspersky, essa campanha começou em maio de 2024 e não mostra qualquer sinal de desaceleração.
Embora o foco principal seja a Itália, os pesquisadores da Kaspersky identificaram vínculos significativos com o Brasil. O código malicioso contém comentários e mensagens de erro escritos em português do Brasil, sugerindo que os agentes de ameaça por trás dos ataques podem ser brasileiros. Além disso, a infraestrutura usada na campanha foi associada a outros ataques no Brasil e na Espanha, embora as ferramentas de infecção nessas regiões sejam um pouco diferentes das utilizadas na Itália.
A Kaspersky identificou duas cadeias de infecção ligeiramente diferentes que foram utilizadas nesta campanha. A primeira, um método de infecção especialmente elaborado que começa com um e-mail de phishing que parece vir de uma empresa imobiliária italiana legítima. O e-mail solicita que o usuário clique em um link incorporado para visualizar uma fatura. Esse link redireciona o usuário para um serviço de nuvem italiano válido, usado para gerenciar faturas.
No entanto, na segunda cadeia de infecção, determinados usuários são redirecionados para um servidor web malicioso, onde o malware valida as configurações do navegador e de idioma. Se o usuário tiver o Edge, o Firefox ou o Chrome configurados para o idioma italiano, será direcionado para uma URL maliciosa do OneDrive, que contém um PDF nocivo. Isso inicia o download de um arquivo que, posteriormente, transmite o RAT do SambaSpy.
Esse malware avançado é capaz de realizar diversas atividades maliciosas, que vão de controle de webcams até manipulação da área de transferência, gerenciamento remoto, roubo de senhas e download de arquivos. O mecanismo de carregamento de plug-ins do SambaSpy e o uso de bibliotecas como JNativeHook demonstram o nível de sofisticação empregado pelos golpistas.
"Normalmente, os cibercriminosos visam infectar o maior número possível de usuários, mas a cadeia de infecção do SambaSpy inclui verificações específicas para assegurar que apenas usuários italianos sejam afetados", comenta Fabio Assolini, diretor da Equipe Global de Pesquisa e Análise da Kaspersky para a América Latina. "Embora o foco principal seja a Itália, as evidências de envolvimento brasileiro nos métodos dos atacantes nos mostram que devemos permanecer vigilantes e adotar práticas seguras online."
