Notamos um recente aumento nas disseminações de Malwares se utilizando de extensões para aplicações do painel de controle do Windows, conforme podemos perceber em um caso analisado por nossa equipe do SOC (Security Operation Center), ao qual foi informada pelo cliente do recebimento de um e-mail suspeito vindo de um contato de sua lista de e-mail’s confiáveis, em cooperação com o cliente acessamos a sua estação de trabalho e damos inicio a mais um chamado.

Ao acessarmos o computador do cliente, o mesmo demonstra o e-mail suspeito para o analista que está atuando na situação, o analista ao reparar o e-mail já detecta como uma possível ameaça ao usuário, conforme podemos demonstrar na imagem:

O cliente informou ao analista que não possui nenhum débito com esta pessoa para a mesma estar a enviar um boleto via e-mail, portanto classificamos o e-mail como de risco e o enviamos a equipe do SOC da XLabs para ser melhor analisado por toda a equipe, conforme foi constatado com nosso cliente, o mesmo informou que não efetuou o download e nem executou a aplicação suspeita em seu computador, mostrando que o treinamento de conscientização da cultura de Segurança da Informação oferecido pela XLabs Security foi eficiente.

Após o envio do e-mail suspeito para a equipe da XLabs Security o mesmo foi removido do cliente de e-mail do usuário, as primeiras análises efetuadas por nossa equipe do SOC demonstram no código fonte do e-mail os link’s aos quais iriam levar o usuário a um website que hospeda uma versão do Malware compactada, conforme podemos ver na seguinte imagem:

A imagem foi modificada no domínio utilizado para a disseminação do Malware.

Ao clicarmos no link oferecido pelo e-mail somos direcionados ao download do arquivo Boleto_Cliente_000473845.PDF.zip, que contém o seguinte artefato Boleto_Cliente_000473845.PDF.cpl, nossos analistas ao perceberem que se tratava de um novo Malware enviaram este artefato suspeito ao nosso sistema de análises dinâmicas de executáveis w32 ThorWeb, ao qual constatou se tratar realmente de um Malware classificado em nossos sistemas com o nome de Trojan.Win32.ChePro.rue de protocolo 458F97DD727242388500D1368628C7C7.

No inicio do post citamos o aumento de Malwares utilizando as extensões CPL e só foi citado este caso, porém nossos sensores espalhados pela rede mundial de computadores em apenas uma semana recolheram aproximadamente 36 amostras de Malwares diferentes, com o mesmo tipo de extensão, a Control Panel Application ou CPL assim demonstrando o atual interesse de cibercriminosos em utilizar extensões pouco conhecidas pelos usuários.

Como podemos observar alguns protocolos arquivados em nosso sistema ThorWeb: