Brasil, São Paulo, 13 de abril de 2022 - Os pesquisadores de ameaças da Avast (LSE:AVST), líder global em segurança digital e privacidade, descobriram um novo Sistema de Direcionamento de Tráfego (TDS) malicioso, o Parrot TDS, que infectou vários servidores de hospedagem web de mais de 16.500 sites. Os sites afetados variam de sites de conteúdo adulto, sites pessoais, sites de universidades e sites de órgãos de governos locais. Esses portais tiveram a sua aparência modificada para que mostrassem uma página de phishing, alegando que o usuário precisava atualizar o seu navegador. Neste caso, quando os usuários executam o arquivo de atualização do navegador oferecido, uma Ferramenta de Acesso Remoto (RAT) é baixada, dando aos invasores o acesso total aos computadores das vítimas.
"Os Sistemas de Direcionamento de Tráfego servem como um gateway para a entrega de várias campanhas maliciosas, por meio dos sites infectados”, diz Jan Rubin, Pesquisador de Malware da Avast. "No momento, uma campanha maliciosa chamada 'FakeUpdate' (também conhecida como SocGholish), está sendo distribuída via Parrot TDS, mas outras atividades maliciosas podem ser realizadas no futuro via TDS."
Os pesquisadores da Avast, Jan Rubin e Pavel Novak acreditam que os invasores estão explorando os servidores web de sistemas de gerenciamento de conteúdos mal protegidos, como sites WordPress e Joomla, realizando login em contas com credenciais fracas para obter acesso de administrador ao servidor.
“A única coisa que os sites têm em comum é que são sites WordPress e, em alguns casos, Joomla. Portanto, suspeitamos que as credenciais de login fracas foram aproveitadas para infectar os sites com código malicioso”, comenta Pavel Novak, analista de ThreatOps da Avast. “A robustez do Parrot TDS e o seu enorme alcance o tornam único”.
O Parrot TDS permite que os invasores definam os parâmetros para exibir apenas páginas de phishing para as vítimas em potencial - que atendem a determinadas condições -, e analisam o tipo de navegador dos usuários, cookies e de qual site eles vieram. Esses parâmetros são definidos para que cada usuário veja uma página de phishing apenas uma vez, evitando que os servidores do Parrot TDS sobrecarreguem.
De 1º de março a 29 de março de 2022, a Avast protegeu mais de 600.000 usuários únicos de todo o mundo visitando sites infectados com Parrot TDS. Durante esse período, a Avast protegeu o maior número de usuários nos seguintes países: Brasil, mais de 73.000 usuários únicos; Índia, quase 55.000 usuários únicos; e mais de 31.000 usuários únicos dos EUA. Dentre os usuários de demais países na mira do Parrot TDS, estavam Cingapura, Indonésia, Argentina, França, México, Paquistão e Rússia.
Mapa ilustrando os países-alvo do Parrot TDS (em março de 2022)
A campanha maliciosa "FakeUpdate" usa JavaScript para alterar a aparência dos sites, com o objetivo de exibir mensagens de phishing alegando que o usuário precisa atualizar o seu navegador. Assim como o Parrot TDS, a campanha maliciosa FakeUpdate também realiza um escaneamento preliminar para coletar informações sobre o visitante do site, antes de exibir a mensagem de phishing. Este é um ato de defesa para determinar se deve ou não exibir a mensagem de phishing, entre outras coisas, a verificação de qual produto antivírus está no dispositivo. O arquivo oferecido como arquivo de atualização é, na verdade, uma ferramenta de acesso remoto chamada NetSupport Manager. Os cibercriminosos, por trás da campanha, configuraram a ferramenta de tal forma que o usuário tem muito pouca chance de percebê-la. Se o arquivo for executado pela vítima, os invasores terão acesso total ao seu computador. Os cibercriminosos por trás da campanha FakeUpdate podem alterar a carga útil entregue às vítimas, a qualquer momento.
Além da campanha FakeUpdate, os pesquisadores da Avast observaram outros sites de phishing hospedados nos sites infectados por Parrot TDS, mas não podem vinculá-los de forma conclusiva com o Parrot TDS.
A análise completa pode ser encontrada no blog Decoded: https://decoded.avast.io/janrubin/parrot-tds-takes-over-web-servers-and-threatens-millions/