Os cibercriminosos criaram um novo esquema: atrair jogadores para um jogo moderno de criptomoeda sobre tanques para obter acesso total aos seus computadores.
Battle
City, mais conhecido como “aquele jogo de tanque”, é um símbolo de uma
era dos games. Cerca de 30 anos atrás, os gamers colocavam um cartucho
no seu console, se acomodavam na frente de uma caixa de TV enorme e
obliteravam ondas de tanques inimigos até que a tela ceder.
Hoje,
o mundo é um lugar diferente, mas os jogos de tanque continuam
populares. As versões modernas oferecem aos jogadores não apenas a
emoção da jogabilidade, mas também a chance de ganhar NFTs. Os
cibercriminosos também têm algo a oferecer: um ataque sofisticado
direcionado aos entusiastas de jogos de criptografia.
Exploração de backdoor e dia zero no Google Chrome
Esta história começa em fevereiro de 2024, quando nossa solução de segurança
detectou o backdoor do Manuscrypt no computador de um usuário na
Rússia. Conhecemos bem esse backdoor. Várias versões dele foram usadas
pelo grupo Lazarus APT desde pelo menos 2013. Portanto, como já
conhecemos a principal ferramenta e os métodos usados pelos invasores, o
que há de tão especial nesse incidente em particular?
O problema
é que esses hackers normalmente têm como alvo grandes organizações,
como bancos, empresas de TI, universidades e até agências
governamentais. Mas desta vez, Lazarus atingiu um usuário individual,
plantando um backdoor em um computador pessoal! Os cibercriminosos
atraíram a vítima para um site de jogos e, assim, obtiveram acesso
completo ao seu sistema. Três coisas tornaram isso possível:
- A vontade irresistível da vítima de jogar seu jogo de tanque favorito em um novo formato
- Uma vulnerabilidade de dia zero no Google Chrome
- Um exploit que permitia a execução remota de código no processo do Google Chrome
Antes
de começar a se preocupar, relaxe: desde então, o Google lançou uma
atualização do navegador, bloqueou o site do jogo de tanques e agradeceu
aos pesquisadores de segurança da Kaspersky. Só para constar, nossos produtos detectam o backdoor do Manuscrypt e o exploit.
Contas falsas
No
início da investigação, achamos que o grupo tinha feito um esforço
extraordinário dessa vez: “Eles realmente criaram um jogo inteiro apenas
para criar uma farsa?” Mas logo descobrimos o que eles realmente tinham
feito. Os cibercriminosos basearam seu jogo, DeTankZone, no jogo
existente DeFiTankLand. Eles realmente fizeram tudo, roubando o
código-fonte do DeFiTankLand e criando contas falsas nas redes sociais
para aplicar a fraude.
Na mesma época, em março de 2024, o preço
da criptomoeda DepitankLand (sic) despencou. Os desenvolvedores do jogo
original anunciaram que sua carteira fria havia sido invadida e “alguém”
havia roubado 20 mil dólares. A identidade desse “alguém” permanece um
mistério. Os desenvolvedores acreditam que se tratou de um agente
interno, mas suspeitamos que as mãos sempre presentes de Lazarus estejam
envolvidas.
 |
| As diferenças entre o falso e o original são mínimas |
Os cibercriminosos orquestraram uma campanha de promoção completa para seu jogo: eles aumentaram a contagem de seguidores no X (antigo Twitter), enviaram ofertas de colaboração para centenas de influenciadores de criptomoedas (também vítimas em potencial), criaram contas premium no LinkedIn e organizaram ondas de e-mails de phishing. Como resultado, o jogo falso ganhou ainda mais tração do que o original (6 mil seguidores no X versus 5 mil na conta do jogo original).
 |
| Conteúdo de rede social criado pela IA com a ajuda de designers gráficos |
Como jogamos jogos de tanques
Agora,
a parte mais divertida: o site malicioso para o qual o Lazarus atraiu
suas vítimas ofereceu a chance não apenas de “experimentar” uma
exploração de navegador de dia zero, mas também de jogar uma versão beta
do jogo. Bem, aqui na Kaspersky, respeitamos os clássicos, então não
pudemos resistir a experimentar esta nova versão promissora. Baixamos um
arquivo que parecia completamente legítimo: 400 MB de tamanho,
estrutura de arquivo correta, logotipos, elementos de interface do
usuário e texturas de modelo 3D. Hora de inicializar!
O menu
Iniciar do DeTankZone nos recebe com uma solicitação para inserir um
endereço de e-mail e senha. Primeiro, tentamos fazer login usando senhas
comuns, como “12345” e “senha”, mas isso não funciona. “Tudo bem,
então”, pensamos. “Vamos apenas registrar uma nova conta”. Novamente,
sem sorte, o sistema não nos deixou jogar.
 |
| O menu Iniciar inspira confiança com um formulário de login aparentemente legítimo |
Então, por que existem texturas de modelo 3D e outros arquivos no arquivo do jogo? Eles realmente podem ser outros componentes de malware? Na verdade, não é tão ruim assim. Fazemos a engenharia reversa do código e descobrimos os elementos responsáveis pela conexão com o servidor do jogo que, para esta versão falsa, não é funcional. Então, em teoria, o jogo ainda funciona. Um pouco de tempo livre, um pouco de programação e prontinho, substituímos o servidor dos hackers pelo nosso, e o tanque vermelho “Boris” entra na arena.
 |
| O jogo nos lembrou aqueles shareware de vinte anos atrás, definitivamente valeu a pena todo o esforço |
Lições aprendidas com esse ataque
A
principal conclusão aqui é que mesmo links da web aparentemente
inofensivos podem acabar com todo o seu computador sendo invadido. Os
cibercriminosos estão constantemente aprimorando suas táticas e métodos.
O Lazarus já está usando a IA generativa com algum sucesso, o que
significa que podemos esperar ataques ainda mais sofisticados
envolvendo-a no futuro.
Soluções de segurança
também estão evoluindo, com a integração efetiva da IA. Tudo o que os
usuários rotineiros da Internet precisam fazer é garantir que a proteção de seus dispositivos e mantenha-se sempre a par das técnicas de golpes mais recentes. Felizmente, o nosso site facilita tudo.
Nenhum comentário:
Postar um comentário