Instaladores falsos de ferramentas populares de inteligência artificial (AI), como OpenAI ChatGPT e InVideo AI, estão sendo usados como iscas para propagar várias ameaças, tais como as famílias de ransomware CyberLock e Lucky_Gh0$t, além de um novo malware chamado Numero.
"O ransomware CyberLock, desenvolvido usando PowerShell, foca principalmente em criptografar arquivos específicos no sistema da vítima," afirmou o pesquisador da Cisco Talos, Chetan Raghuprasad, em um relatório publicado hoje(30).
O ransomware Lucky_Gh0$t é outra variante do ransomware Yashma, que é a sexta iteração da série de ransomware Chaos, apresentando apenas pequenas modificações no binário do ransomware.
Por outro lado, o Numero é um malware destrutivo que impacta vítimas manipulando os componentes da interface gráfica do usuário (GUI) do sistema operacional Windows, tornando assim as máquinas inutilizáveis.
A empresa de cibersegurança disse que as versões legítimas das ferramentas de AI são populares nos domínios de vendas business-to-business (B2B) e no setor de marketing, sugerindo que indivíduos e organizações nestas indústrias são o foco principal dos atores de ameaça por trás da campanha.
Um desses sites falsos de solução em AI é o "novaleadsai[.]com," que provavelmente se passa por uma plataforma de monetização de leads chamada NovaLeads.
Suspeita-se que o site seja promovido através de técnicas de envenenamento de Search Engine Optimization (SEO) para aumentar artificialmente sua classificação nos motores de busca online.
Usuários que acabam no site são incentivados a baixar o produto, alegando oferecer acesso gratuito à ferramenta pelo primeiro ano, com uma assinatura mensal de $95 após esse período.
O que é de fato baixado é um arquivo ZIP contendo um executável .NET ("NovaLeadsAI.exe") que foi compilado em 2 de fevereiro de 2025, no mesmo dia em que o domínio falso foi criado.
O binário, por sua vez, atua como um loader para implementar o ransomware CyberLock baseado em PowerShell.
O ransomware está equipado para escalar privilégios e se re-executar com permissões administrativas, caso ainda não as tenha, e criptografa arquivos localizados nas partições "C:\", "D:\", e "E:\" que correspondam a um certo conjunto de extensões.
Ele então deixa uma nota de resgate demandando que um pagamento de $50,000 seja feito em Monero em duas carteiras dentro de três dias.
Em um ponto interessante, o ator de ameaça afirma na nota de resgate que os pagamentos serão destinados ao suporte de mulheres e crianças na Palestina, Ucrânia, África, Ásia e outras regiões onde "injustiças são uma realidade diária."
"Perguntamos que você considere que este valor é pequeno em comparação com as vidas inocentes que estão sendo perdidas, especialmente crianças que pagam o preço mais alto," afirma a nota.
"Infelizmente, concluímos que muitos não estão dispostos a agir voluntariamente para ajudar, o que torna esta a única solução possível."
O último passo envolve o ator de ameaça empregando o binary living-off-the-land (LoLBin) "cipher.exe" com a opção "/w" para remover o espaço em disco disponível não utilizado em todo o volume a fim de dificultar a recuperação forense dos arquivos deletados.
Talos disse que também observou um ator de ameaça distribuindo o ransomware Lucky_Gh0$t sob o disfarce de um instalador falso para uma versão premium do ChatGPT.
"O instalador SFX malicioso incluía uma pasta que continha o executável do ransomware Lucky_Gh0$t com o nome de arquivo 'dwn.exe,' que imita o executável legítimo da Microsoft 'dwm.exe,'" disse Raghuprasad.
A pasta também continha ferramentas legítimas de AI de código aberto da Microsoft disponíveis em seu repositório GitHub para desenvolvedores e cientistas de dados que trabalham com AI, particularmente dentro do ecossistema Azure.
Caso a vítima execute o arquivo instalador SFX malicioso, o script SFX executa o payload do ransomware.
Uma variante do ransomware Yashma, o Lucky_Gh0$t visa arquivos que são aproximadamente menores que 1.2GB em tamanho para criptografia, mas não antes de deletar cópias de volume shadow e backups.
A nota de resgate deixada no final do ataque inclui um ID de decodificação pessoal único e instrui as vítimas a contatá-los via o aplicativo de mensagens Session para um pagamento de resgate e para obter um decodificador.
Por último, mas não menos importante, atores de ameaça também estão se aproveitando do uso crescente de ferramentas de AI para semear a paisagem online com um instalador falso para InVideo AI, uma plataforma de criação de vídeos alimentada por AI, para implementar um malware destrutivo codinomeado Numero.
O instalador fraudulento serve como um dropper contendo três componentes: Um arquivo batch do Windows, um Script Visual Basic, e o executável Numero.
Quando o instalador é lançado, o arquivo batch é executado através do shell do Windows em um loop infinito, que, por sua vez, executa o Numero e depois temporariamente o interrompe por 60 segundos executando o script VB via cscript.
"Após retomar a execução, o arquivo batch termina o processo do malware Numero e reinicia sua execução," disse Talos.
Implementando o loop infinito no arquivo batch, o malware Numero é continuamente executado na máquina da vítima.
Um executável do Windows de 32-bits escrito em C++, Numero verifica a presença de ferramentas de análise de malware e depuradores entre os processos em execução, e procede para sobrescrever o título da janela do desktop, botões e conteúdos com a string numérica "1234567890." Foi compilado em 24 de janeiro de 2025.
A divulgação vem enquanto o Google-owned Mandiant revelou detalhes de uma campanha de malvertising que utiliza anúncios maliciosos no Facebook e LinkedIn para redirecionar usuários para sites falsos que se passam por ferramentas legítimas de geração de vídeos AI como Luma AI, Canva Dream Lab e Kling AI, entre outros.
A atividade, que também foi recentemente exposta pela Morphisec e Check Point no início deste mês, foi atribuída a um cluster de ameaça que a gigante da tecnologia rastreia como UNC6032, que é avaliado por ter uma conexão com o Vietnã.
A campanha está ativa desde pelo menos meados de 2024.
O ataque ocorre da seguinte maneira: Usuários desavisados que chegam a esses sites são instruídos a fornecer um prompt de entrada para gerar um vídeo.
No entanto, como observado anteriormente, a entrada não importa, já que a principal responsabilidade do site é iniciar o download de um payload dropper baseado em Rust chamado STARKVEIL.
"[STARKVEIL] implementa três diferentes famílias de malware modulares, primariamente projetadas para roubo de informações e capazes de baixar plugins para estender sua funcionalidade," disse Mandiant.
A presença de múltiplos payloads similares sugere um mecanismo de segurança falível, permitindo que o ataque persista mesmo se alguns payloads forem detectados ou bloqueados pelas defesas de segurança.
As três famílias de malware são descritas abaixo:
- GRIMPULL, um downloader que usa um túnel TOR para buscar payloads .NET adicionais que são descriptografados, descomprimidos e carregados na memória como assemblies .NET;
- FROSTRIFT, um backdoor .NET que coleta informações do sistema, detalhes sobre aplicativos instalados, e escaneia para 48 extensões relacionadas a gerenciadores de senha, autenticadores e carteiras de criptomoeda em navegadores web baseados em Chromium;
- XWorm, um conhecido trojan de acesso remoto (RAT) baseado em .NET com recursos como keylogging, execução de comando, captura de tela, coleta de informações e notificação da vítima via Telegram.
STARKVEIL também serve como um condutor para lançar um dropper baseado em Python codinomeado COILHATCH que é na verdade encarregado de executar os três payloads acima mencionados via DLL side-loading.
"Essas ferramentas de AI não visam mais apenas designers gráficos; qualquer um pode ser atraído por um anúncio aparentemente inofensivo," disse Mandiant.
"A tentação de experimentar a última ferramenta de AI pode levar qualquer um a se tornar uma vítima."
Publicidade
A Dola é uma IA que funciona diretamente no WhatsApp ou Telegram, permitindo que você gerencie sua agenda — seja do Google Calendar ou do iPhone — de forma simples e intuitiva, mandando mensagens de texto, áudio ou até imagens.
Com a Dola, você recebe lembretes inteligentes, ligações na hora dos compromissos, resumo diário da sua agenda, pode fazer perguntas a qualquer momento e até receber, todos os dias, a previsão do tempo.
Perfeita para quem busca mais organização, foco e produtividade no dia a dia.
E o melhor: é gratuito! Experimente agora.
Saiba mais...