Campanha de Malvertising do Dia do Imposto Usa Driver Huawei para Cegar EDR Antes de Ransomware

Uma campanha de malvertising altamente sofisticada e oportuna está aproveitando o estresse do prazo de declaração do imposto de renda nos EUA para distribuir malware capaz de cegar software de segurança antes de implantar ransomware. A operação, que permanece ativa, representa uma escalada significativa nas táticas usadas por cibercriminosos, combinando engenharia social precisa com uma técnica perigosa de evasão conhecida como Bring Your Own Vulnerable Driver (BYOVD).

A cadeia de ataque é iniciada por meio de anúncios contaminados na Pesquisa do Google. Cibercriminosos compram anúncios direcionados a palavras-chave relacionadas a softwares populares de preparação de impostos, como "TurboTax" ou "H&R Block". Esses anúncios maliciosos aparecem no topo dos resultados de busca, se passando por links de download legítimos desses aplicativos. Usuários desavisados, particularmente indivíduos e pequenos empresários correndo para cumprir o prazo fiscal de abril, são enganados a clicar.

Em vez de um programa tributário, a vítima baixa um instalador malicioso. A função principal deste instalador é implantar uma ferramenta legítima de acesso e gerenciamento remoto, o ScreenConnect (agora ConnectWise Control). Embora o ScreenConnect seja por si só uma ferramenta reputada usada por profissionais de TI, seus poderosos recursos de controle remoto a tornam uma commodity valiosa para atacantes. A instalação é configurada para ser executada de forma oculta, estabelecendo um backdoor persistente no sistema da vítima.

No entanto, a verdadeira sofisticação desta campanha reside no que acontece em seguida. Antes de qualquer payload final ser entregue, os atacantes agem para neutralizar as defesas do sistema. Usando o acesso inicial fornecido pelo ScreenConnect, eles baixam e executam um arquivo de driver legítimo assinado pela Huawei: eHiperview_eHiperService.sys. Este driver faz parte do software de monitoramento eHiperview da Huawei. Embora não seja malicioso por design, ele contém vulnerabilidades que permitem acesso impróprio ao kernel do Windows—o núcleo do sistema operacional.

Em um ataque BYOVD, o malware abusa dos altos privilégios de um driver assinado e vulnerável para realizar ações maliciosas no nível do kernel. Neste caso, o driver da Huawei é weaponizado para desativar ou adulterar os processos de Endpoint Detection and Response (EDR) e antivírus em execução no endpoint. Ao operar no nível do kernel, o ataque pode contornar as verificações de segurança padrão do espaço do usuário e manipular ou terminar diretamente o software de segurança. Isso efetivamente "cega" o endpoint, removendo sua capacidade de detectar ou registrar atividades maliciosas subsequentes.

Com o software de segurança incapacitado, o cenário está pronto para o ato final. Embora o payload de ransomware específico nesta campanha ainda esteja sendo analisado, o padrão operacional é claro. Os atacantes, agora operando com risco mínimo de detecção, podem se mover lateralmente, escalar privilégios, exfiltrar dados e, por fim, implantar ransomware de criptografia de arquivos. A combinação de um backdoor furtivo e defesas desativadas torna a remediação excepcionalmente difícil e aumenta a probabilidade de uma implantação e pagamento de ransomware bem-sucedidos.

Esta campanha destaca várias tendências críticas no panorama de ameaças. Primeiro, o abuso de anúncios do Google (malvertising) continua sendo um vetor de infecção inicial altamente eficaz devido à confiança inerente que os usuários depositam nos principais resultados de busca. Segundo, o uso de ataques BYOVD está migrando de grupos de ameaças persistentes avançadas (APT) para operações criminosas mais amplas, baixando a barreira para evasão sofisticada. Terceiro, o timing temático do ataque—explorando a temporada de impostos—demonstra uma compreensão profunda da psicologia da vítima e dos períodos de pico de vulnerabilidade.

Para profissionais de cibersegurança, esta campanha ressalta a necessidade de defesas em camadas que possam resistir à adulteração no nível do kernel. As recomendações incluem:

1. Implementar políticas de lista de permissões (allowlisting) de drivers para bloquear drivers de kernel não autorizados.
2. Implantar soluções de segurança com proteções anti-adulteração e detecção comportamental capaz de identificar atividade maliciosa de drivers.
3. Educar os usuários, especialmente durante períodos de alto risco como a temporada de impostos, para serem céticos em relação a links de download de anúncios de busca e verificarem URLs diretamente.
4. Monitorar a instalação de ferramentas de acesso remoto como o ScreenConnect a partir de fontes não padrão ou inesperadas.
5. Garantir que procedimentos robustos de backup e recuperação estejam em vigor, uma vez que o ransomware permanece como o provável objetivo final.

O uso de um driver da Huawei neste contexto é notável, mas deve ser visto como um caso de exploração oportunista de código vulnerável disponível, não como um reflexo do fabricante. Serve como um lembrete contundente de que a cadeia de suprimentos de software, incluindo drivers legítimos assinados, pode ser weaponizada contra os próprios sistemas que foram projetados para suportar. À medida que os prazos fiscais se aproximam, esta campanha é um potente lembrete de que as ameaças cibernéticas são cada vez mais adaptadas aos nossos calendários e nossas ansiedades.