Segundo a Trend Micro, o malware aplica técnica ousada para fisgar suas vítimas
Uma nova ameaça dedicada ao roubo de dados bancários, o TSPY_Banker.EUIQ foi descoberto pelos pesquisadores da TrendLabs Brasil, laboratório da Trend Micro. Segundo a companhia, o malware atacou mais de três mil usuários nos últimos dias, a maior parte deles aqui no país.
A equipe de pesquisadores brasileiros encontrou algumas URLs suspeitas indicando caminhos não comuns para download do arquivo ChromeSetup.exe, que iludiam a vítima ao fazê-los acreditar que o arquivo estava hospedado em domínios como Facebook, Terra, Google, entre outros.
Algumas das URLs são (para sua segurança, não tente testá-las):
hxxp://br.msn.com/ChromeSetup.exehxxp://www.facebook.com.br/ChromeSetup.exehxxp://www.facebook.com/ChromeSetup.exehxxp://www.globo.com.br/ChromeSetup.exehxxp://www.google.com.br/ChromeSetup.exehxxp://www.terra.com.br/ChromeSetup.exe
A ação dos especialistas mostrou que os endereços estavam sendo manipulados por um malware bancário multi-modular, que utilizava uma abordagem inusitada para fazer o ataque. Ao acessar estas URLs, os usuários eram direcionados a outros endereços que não pertenciam aos domínios legítimos.
De acordo com Alberto Medeiros, especialista da Trend Micro, a ameaça age induzindo a vítima a realizar o download do seu módulo principal, o ChromeSetup.exe. "Após a infecção, o malware envia informações da máquina do usuário como IP, nome de host Windows da máquina, sistema operacional e versão para um servidor de C&C - Comando e Controle", explica.
Na sequência, a ameaça faz outro download, dessa vez de um arquivo que redireciona o acesso a páginas bancárias falsas sempre que o usuário tenta visitar sites bancários legítimos, apresentando sempre a seguinte mensagem:
