A maioria das análises de phishing parte do princípio de que um link leva a algo malicioso ou não leva, e que quem for verificar esse link vai ver a mesma coisa que uma vítima real veria. A pesquisa que o SANS Internet Storm Center publicou em 1º de setembro descreve uma campanha construída justamente para quebrar essa suposição. Um e-mail em português do Brasil levou um pesquisador de laboratório até um link que respondia a uma pergunta antes de responder à solicitação em si: esse visitante está realmente no Brasil, e está mesmo usando um navegador e um sistema operacional configurados em português do Brasil? Acertar as duas respostas fazia o link entregar um trojan bancário. Errar qualquer uma delas fazia o link entregar, em vez disso, um instalador legítimo do Android Studio.
Um Link Que Decide o Que Você Merece Ver
A família de malware envolvida, conhecida como Guildma ou Astaroth, tem como alvo usuários brasileiros há anos, roubando credenciais bancárias, e essa campanha mostra por que ela continua funcionando. O comportamento malicioso não está codificado em nenhuma parte do e-mail, e também não é uma propriedade fixa do link. É uma decisão em tempo real que o servidor do atacante toma para cada visitante individual, com base na geolocalização do endereço IP que faz a solicitação e no idioma e nas configurações regionais que o navegador informa. Um pesquisador, um sandbox ou uma ferramenta de segurança que verifique esse link de fora do Brasil, ou a partir de uma máquina configurada em inglês ou espanhol, recebe o instalador real do Android Studio: funcional, inofensivo e um motivo convincente para concluir que o link está limpo. Só um visitante que esteja fisicamente no Brasil e configurado em português do Brasil chega a ver a carga real.
De um Atalho a um Fluxo de Dados Oculto
Para os visitantes que passam nas duas verificações, o link entrega um arquivo ZIP contendo um atalho do Windows. Ao ser executado, ele se conecta novamente a um servidor web e salva o que recebe em um Alternate Data Stream do NTFS, uma forma de anexar dados extras a um arquivo que a maioria das listagens de arquivos e inspeções superficiais nunca mostra. Esse fluxo oculto contém uma DLL de 64 bits, que por sua vez baixa e instala um pacote AutoIt responsável por executar o próprio malware Guildma. Cada etapa depois do clique inicial é construída com a mesma lógica da verificação de geolocalização: pensada para que um defensor que não reproduza exatamente as condições de uma vítima real no Brasil nunca veja o que de fato acontece.
Por Que o DMARC Nunca Foi Feito Para Detectar Isso
O DMARC avalia uma mensagem no momento da entrega: se o domínio no cabeçalho From autorizou a infraestrutura que a enviou. Ele não tem nenhum mecanismo para avaliar o que uma URL dentro dessa mensagem faz quando alguém clica nela, e muito menos para uma URL cujo comportamento muda de acordo com quem clica e de onde. Um domínio pode estar perfeitamente autenticado, com SPF, DKIM e DMARC passando sem problema algum, e ainda assim ser o veículo de entrega de um link que se comporta como malware para um visitante e como uma página de download de software para os cem seguintes. A verificação de geolocalização e idioma nessa campanha não tem como alvo específico o DMARC. Ela tem como alvo cada etapa de verificação automatizada e manual que acontece depois que uma mensagem passa pela autenticação, exatamente o território que o DMARC repassa para outra pessoa no momento em que a mensagem chega à caixa de entrada.
O Que Isso Significa Para o Seu Programa
Não trate um único clique de teste limpo como prova de que um link é seguro. Um link testado a partir do seu centro de operações de segurança, provavelmente fora do Brasil e configurado em inglês, pode parecer completamente inofensivo enquanto continua ativo e malicioso para a população que ele realmente tem como alvo.
Ajuste as condições do seu teste à ameaça que está investigando. Quando uma mensagem suspeita está escrita em um idioma específico para uma região específica, validar seus links a partir de um endereço IP e uma configuração regional correspondentes é a única forma de ver o que um destinatário real veria.
Trate trojans bancários com alvo regional como um risco permanente onde quer que sua organização tenha operações no Brasil ou funcionários que falam português, independentemente de onde sua infraestrutura de segurança de e-mail seja gerenciada centralmente.
Garanta que suas ferramentas de endpoint realmente inspecionem Alternate Data Streams, não apenas o conteúdo principal de um arquivo, já que essa campanha depende dessa brecha para esconder sua carga às claras.
A Conclusão
O golpe mais inteligente dessa campanha não foi o trojan bancário no fim da cadeia. Foi construir um link que mostra a quase todo verificador, pesquisador e scanner automatizado exatamente o que eles esperam ver, reservando o ataque real para a única população para a qual ele foi criado. O DMARC autenticou o domínio que enviou o e-mail original e, depois disso, não teve mais nada a dizer, porque tudo o que importava aconteceu em uma decisão do lado do servidor que nenhum protocolo de autenticação foi feito para avaliar.
O DMARC confirma que um domínio tinha autoridade para enviar uma mensagem. Ele não consegue te dizer que o link dentro dessa mensagem se comporta de forma diferente dependendo de quem clica e de onde, mostrando a um pesquisador de segurança um instalador inofensivo enquanto mostra a uma vítima real um trojan bancário. A Excello Mail transforma seus relatórios agregados de DMARC em um registro claro e contínuo de cada domínio e serviço enviando em seu nome, para que a camada de autenticação permaneça hermética enquanto sua equipe investiga o que um link realmente faz com o público que ele foi feito para enganar. Cadastre-se gratuitamente na Excello Mail e tenha essa base pronta.