Suporte Técnico
Documentação
Entrar
Entre em contato conosco
Vá direto para um resumo gerado por IA desta postagem do blog 
Os pesquisadores de segurança da Unidade 42 da Palo Alto Networks investigaram uma variante do malware PlugX capaz de ocultar arquivos maliciosos em dispositivos USB removíveis e, em seguida, infectar os computadores com Windows aos quais esses dispositivos são conectados. A operação é uma resposta a um vazamento de informações relacionadas ao ransomware Black Basta.
O malware emprega uma “técnica inovadora” que lhe permite passar despercebido por períodos mais longos, de forma semelhante à maneira como o malware em JavaScript opera de forma furtiva em ambientes de navegador, podendo potencialmente se espalhar para sistemas isolados (air-gapped). A nova variante do PlugX é considerada “capaz de se propagar como um worm”, o que significa que pode infectar dispositivos USB e se ocultar do Sistema de Arquivos do Windows.
O agente malicioso está utilizando a versão de 32 bits de uma ferramenta de depuração do Windows chamada “x64dbg.exe” em ataques recentes, juntamente com uma versão corrompida do arquivo “x32bridge.dll”, que carrega a carga útil do PlugX (x32bridge.dat).
“Esse malware PlugX também oculta arquivos do invasor em um dispositivo USB por meio de uma técnica inovadora, que faz com que os arquivos maliciosos só possam ser visualizados em um sistema operacional *nix ou ao montar o dispositivo USB em uma ferramenta forense”, afirma um comunicado da Unit 42 sobre a nova ameaça. “Devido a essa capacidade de escapar da detecção, o malware PlugX pode continuar a se espalhar e, potencialmente, invadir redes isoladas.”
No entanto, não há evidências que liguem o PlugX — um backdoor amplamente utilizado por vários grupos estatais chineses — ou o Gootkit ao grupo de ransomware Black Basta, o que sugere que ele tenha sido utilizado por outros agentes, da mesma forma que as campanhas de malware do Docker costumam ser atribuídas a vários grupos de ameaças em atividade. A variante USB do PlugX se destaca por utilizar um caractere Unicode conhecido como espaço não separável (U+00A0) para ocultar arquivos em um dispositivo USB conectado a uma estação de trabalho.
Por fim, um arquivo de atalho do Windows (.LNK) criado na pasta raiz do pen drive é usado para executar o malware, um método que lembra as táticas de disseminação do malware Qbot. A amostra do PlugX tem a função não apenas de instalar o malware no computador hospedeiro, mas também de copiá-lo para qualquer dispositivo removível que possa estar conectado a ele, ocultando-o dentro de uma pasta que simula a Lixeira.
A Unit 42 também informou que a equipe descobriu uma variante do PlugX capaz de infectar dispositivos USB e copiar todos os arquivos em formato Adobe PDF e Microsoft Word do computador hospedeiro. As cópias são, então, armazenadas em uma pasta oculta criada automaticamente no dispositivo USB.
As fontes utilizadas neste artigo incluem uma matéria publicada no TheHackerNews.
