Em outubro de 2017, a Unit 42 da Palo Alto Networks publicou uma pesquisa mostrando como os criminosos estavam adaptando técnicas de ataque para gerar criptomoedas. Nessa pesquisa, também foi demonstrado como esses ataques eram muito amplos e cresciam rapidamente.
Na época, os pesquisadores explicaram que o valor súbito e crescente de criptomoedas teria por trás o aumento acelerado deste tipo de ataques. A Unit 42 avisou que se os valores de criptomoedas continuarem a permanecer elevados, poderíamos esperar que invasores continuem a se concentrar em encontrar maneiras de realizar ataques para roubar este tipo de ativo e que esses ataques continuem a adaptar técnicas comprovadas.
A Unit 42 acaba de lançar novas pesquisas mostrando que os criminosos continuam a adaptar as técnicas existentes para gerar criptomoedas. Na pesquisa "Operação de larga escala usa XMRing para mineirar criptomoeda Monero", é detalhada uma nova campanha de malware em escala global, com elevado número de vítimas e que utiliza técnicas bem conhecidas para minerar a criptomoeda Monero.
Como o ataque funciona
O Monero é uma criptomoeda semelhante ao Bitcoin, mas é famosa por enfatizar um nível maior de privacidade em torno de suas transações. Como o Bitcoin, o Monero é gerado por meio da "mineração", um intensivo processo computacional que fornece crédito em criptomoeda em troca de recursos computacionais fornecidos ao serviço da criptomoeda e sua infraestrutura de transações.
A operação que a Unit 42 descobriu recentemente uma operação que entrega o XMRig (software é usado para minerar Monero) em dispositivos de vítimas sem o seu conhecimento ou consentimento, por meio de encurtadores de URL como o Bitly e o Adfly.
Embora o XMRig não seja, especificamente, malware, está sendo entregue usando técnicas de malware, assim como qualquer arquivo malicioso. Os criminosos estão fazendo isso usando encurtadores de URL para encobrir o XMRig, como um programa legítimo. Este é um método que os invasores usaram por anos e agora estão usando para minerar criptomoedas no sistema das pessoas de modo ilícito.
O uso de encurtadores de URLs por parte dos criminosos permitiu que os pesquisadores da Unit 42 tenham uma ideia do tamanho, escopo e escala desta operação. E estes são todos notáveis.
Escala do ataque
Esta é uma campanha recente, iniciada há quatro meses e possui larga escala. Os pesquisadores da Unit 42 notaram que metade das amostras de malware afetou 15 milhões de pessoas no mundo. Apesar de ainda não poderem calcular o alcance da outra metade das amostras, os pesquisadores supõem que elas alcancem o dobro de vítimas. Isto significa que esta operação pode atingir 30 milhões de pessoas em todo o mundo.
Dentro da amostra de 15 milhões confirmados, as regiões mais afetadas são sudoeste da Ásia, norte da África e países da América do Sul, incluindo o Brasil.
Abaixo o número de downloads realizados por meio de encurtadores de URL:
Tailândia – 3.545.437
Vietnã – 1.830.065
Egito – 1.132.863
Indonésia – 988,163
Turquia – 665.058
Peru – 646.985
Argélia – 614,870
Brasil – 550.053
Filipinas – 406 294
Venezuela – 400.661
Juntando todos esses pontos, esta é uma operação muito grande e claramente muito eficaz. mostra como os atacantes estão concentrando suas operações e campanhas de modo agressivo para em gerar e adquirir criptomoeda.
Do ponto de vista da ameaça, há duas coisas que são notáveis. Primeiro é o fato de que, do ponto de vista técnico, não há sofisticação nas táticas e técnicas. Em segundo lugar, é fato de que esta operação é claramente muito bem-sucedida com base em seu tamanho, alcance e curto prazo.
Analisando esta operação no contexto de evolução contínua de ameaças focadas em criptomoedas, é claro que é uma ameaça em fase inicial, dada a falta de sofisticação e reutilização de técnicas e táticas estabelecidas. Mas, visto o quão rápido e bem-sucedida ela é, combinado com o alto valor de criptomoedas, também podemos concluir que é uma tendência o cibercrime concentrar seus esforços em ataque como esse e evoluir suas técnicas e táticas rapidamente. As ameaças focadas em criptomoeda são uma área-chave que todos os defensores devem concentrar seus esforços de inteligência e prevenção em 2018.
