Hackers Exploram Formulários de “Contate-nos” em Campanha de Phishing

A Check Point Research (CPR) identificou uma nova campanha de phishing conhecida como ZipLine, que inverte os golpes tradicionais forçando a vítima a iniciar a conversa.

A CPR explica que, ao contrário dos ataques de phishing normais, onde os hackers iniciam o contato, essa nova campanha atrai vítimas através dos formulários de “Fale Conosco” das empresas.

“Em todos os casos, foi a vítima quem iniciou a troca de emails que, por fim, levou à infecção”, disse a CPR. Com este método, os atacantes forjam interações que parecem legítimas, ajudando-os a evitar a detecção.

Os hackers se envolvem em conversas por e-mail que às vezes duram semanas, fingindo ser parceiros de negócios e até solicitando que as empresas assinem Acordos de Não Divulgação. Eventualmente, os atacantes enviam um arquivo ZIP malicioso através do Heroku, que opera como uma plataforma em nuvem genuína. No entanto, dentro do arquivo, há um falso PDF ou arquivo Word, juntamente com um arquivo de atalho oculto que lança secretamente um código malicioso.

Esse código então instala o MixShell, um poderoso backdoor que permite aos invasores roubar arquivos, executar comandos e até atuar como um proxy dentro da rede da vítima. A CPR observou, “MixShell suporta operações de arquivo, proxy reverso, execução de comandos e sessões interativas baseadas em pipe.”

Em casos recentes, a CPR relata que os hackers utilizaram um tema de “transformação AI”, fingindo realizar uma “Avaliação de Impacto AI” para a liderança da empresa. O e-mail pede aos funcionários que preencham um breve questionário, o que a CPR nota ser outra tática para construir confiança.

Os atacantes também usam domínios vinculados a antigas empresas dos EUA, muitas das quais parecem abandonadas, mas ainda parecem legítimas. Seus alvos variam de pequenas empresas a empresas Fortune 500, especialmente em setores como manufatura, aeroespacial, eletrônicos de consumo e energia.

De acordo com a CPR, “Esta campanha reflete as táticas em evolução de campanhas avançadas de phishing”. Especialistas em segurança alertam que até mesmo formulários básicos de sites, se não verificados, podem abrir a porta para ataques cibernéticos altamente prejudiciais.