Um novo e perigoso variant do malware PureLogs, projetado para roubar informações, surgiu e está gerando preocupações sérias na comunidade de cibersegurança. Esta variante adota uma abordagem mais evasiva do que seus predecessores, utilizando uma cadeia de estágios cuidadosamente elaborada para atingir as vítimas sem acionar ferramentas de segurança padrão. O que a torna notável é como ela utiliza processos confiáveis do Windows, como o MsBuild.exe, por meio de uma técnica chamada process hollowing, para executar suas ações sem ser detectada.
Detalhes Técnicos
Uso de MsBuild.exe: A variante do PureLogs utiliza o MsBuild.exe, uma ferramenta legítima de compilação de projetos do .NET Framework, para executar seu payload malicioso. Isso permite que o malware se misture com o tráfego de rede legítimo e evite detecção por ferramentas de segurança.
Process Hollowing: Esta técnica envolve a criação de um novo processo em um estado suspenso e, em seguida, a substituição de seu conteúdo de memória pelo código malicioso. No caso do PureLogs, isso significa que o malware pode executar suas ações sob a égide de um processo legítimo do Windows, dificultando sua detecção.
Cadeia de Estágios: A variante do PureLogs utiliza uma cadeia complexa de estágios para infectar suas vítimas. Isso pode incluir a entrega de um payload inicial, que por sua vez baixa e executa estágios adicionais do malware.
Ações Recomendadas
Monitoramento de Processos: Monitorar os processos em execução no sistema para identificar atividades suspeitas, especialmente o uso de MsBuild.exe para executar tarefas não relacionadas à compilação.
Análise de Tráfego de Rede: Analisar o tráfego de rede para identificar padrões de comunicação suspeitos que possam indicar a presença do malware.
Atualização de Ferramentas de Segurança: Garantir que todas as ferramentas de segurança estejam atualizadas para detectar as últimas variantes de malware, incluindo o PureLogs.
