Socgholish

As autoridades de segurança da Holanda, em colaboração com o Canadá, Alemanha e EUA, desmantelaram a infraestrutura maliciosa associada ao malware SocGholish, resultando na limpeza de quase 15.000 sites WordPress infectados. O malware, que atua como um downloader baseado em JavaScript, é conhecido por distribuir outras ameaças cibernéticas, como ransomware e espionagem. Desde 2017, o SocGholish tem se espalhado por meio de sites comprometidos, disfarçando-se como atualizações enganosas de navegadores populares. A operação, parte da ‘Operação Endgame’, visa combater botnets e infraestruturas criminosas. Os proprietários dos sites afetados foram alertados para atualizar seus sistemas de gerenciamento de conteúdo e alterar credenciais. A análise indica que a maioria dos sites comprometidos está localizada nos EUA, seguida por países como Alemanha, França e Brasil. O uso de técnicas como ‘Domain Shadowing’ tem facilitado a operação do malware, tornando a detecção mais difícil. A ameaça é considerada de alto risco, afetando diversos setores e exigindo atenção especial dos CISOs, especialmente em relação à conformidade com a LGPD.

Agências internacionais de segurança, incluindo Europol e Eurojust, realizaram uma operação conjunta chamada Operation Endgame, que resultou na limpeza de quase 15.000 sites WordPress infectados por malware e na desativação de mais de 100 servidores associados ao grupo de cibercrime russo Evil Corp. A operação, que envolveu autoridades da Holanda, Canadá, Estados Unidos e Alemanha, focou na interrupção da cadeia de infecção ligada ao malware SocGholish. Este malware, que atua como um downloader de JavaScript, tem sido utilizado em ataques desde 2017, enganando usuários a baixarem atualizações falsas de navegadores que, na verdade, são cargas maliciosas. O malware permite que os atacantes acessem sistemas infectados e é conhecido por implantar outras famílias de malware, como Dridex e Doppelpaymer. As autoridades também recomendaram que os proprietários dos sites afetados alterassem suas credenciais, ativassem a autenticação multifatorial e mantivessem seus sites atualizados para evitar novas infecções. A operação representa um esforço significativo para mitigar os riscos de ataques cibernéticos em infraestruturas críticas e proteger a segurança digital de cidadãos e organizações em todo o mundo.

Um novo ataque cibernético envolvendo a família de malware RomCom foi identificado, visando uma empresa de engenharia civil baseada nos Estados Unidos. O ataque foi realizado através de um carregador JavaScript conhecido como SocGholish, que é utilizado para entregar o Mythic Agent, um trojan de acesso remoto (RAT). Este é o primeiro caso documentado em que um payload do RomCom foi distribuído via SocGholish, que é associado a um grupo de hackers russo, o GRU, e tem como alvo entidades ligadas à Ucrânia. O ataque tipicamente envolve a exibição de alertas falsos de atualização de navegador em sites legítimos, mas comprometidos, para induzir os usuários a baixar o código JavaScript malicioso. Embora o ataque tenha sido bloqueado antes de causar danos, ele demonstra o interesse contínuo do RomCom em atingir organizações que, mesmo indiretamente, estão conectadas à Ucrânia. A velocidade do ataque, que levou menos de 30 minutos desde a infecção até a entrega do carregador, destaca a eficácia e a ameaça representada por esse tipo de ataque, que pode afetar organizações em todo o mundo.