Campanha de malware utiliza software legítimo para roubo de credenciais

Pesquisadores de cibersegurança revelaram uma nova campanha que utiliza o software legítimo ConnectWise ScreenConnect para distribuir um loader que instala um trojan de acesso remoto (RAT) chamado AsyncRAT. O ataque começa com o uso do ScreenConnect para obter acesso remoto, seguido pela execução de um loader em VBScript e PowerShell que busca componentes ofuscados em URLs externas. Esses componentes incluem assemblies .NET codificados que se descompactam em AsyncRAT, mantendo persistência através de uma tarefa agendada disfarçada de ‘Skype Updater’.

Os atacantes têm enviado instaladores do ScreenConnect trojanizados, disfarçados como documentos financeiros, via e-mails de phishing. O script malicioso recupera dois arquivos externos, sendo que o primeiro, ’logs.ldk’, é uma DLL que escreve um segundo script em disco, garantindo que o payload seja executado automaticamente após cada login. O AsyncRAT é capaz de registrar teclas, roubar credenciais de navegadores e identificar aplicativos de carteira de criptomoedas instalados. As informações coletadas são exfiltradas para um servidor de comando e controle (C2), dificultando a detecção devido à natureza fileless do malware, que opera na memória. Essa abordagem representa um desafio significativo para as defesas de cibersegurança modernas.

Fonte: https://thehackernews.com/2025/09/asyncrat-exploits-connectwise.html

Este conteúdo foi processado automaticamente pelo BR Defense Center (By River de Morais e Silva).