Campanha de torrent do DiCaprio evolui: AgentTesla é entregue via legendas maliciosas

A evolução de uma armadilha de engenharia social

O manual de procedimentos do cibercrime para explorar a cultura popular recebeu uma atualização significativa. Após as campanhas anteriores que se passavam por torrents de filmes indicados ao Oscar, os agentes de ameaça agora mudaram o foco para atingir um dos blockbusters mais aguardados de 2025: 'One Battle After Another', estrelado por Leonardo DiCaprio. Esta nova onda representa uma escalada perigosa tanto em sofisticação quanto no alvo, passando de um público de nicho de 'filmes de Oscar' para a base de fãs massiva e mainstream de um grande filme de ação. Pesquisadores de segurança estão rastreando uma cadeia de infecção global que entrega o potente rouba-dados AgentTesla por meio de um processo astuto de múltiplos estágios, com arquivos de legenda manipulados emergindo como um componente crítico do ataque.

Cadeia de ataque: do torrent ao comprometimento total

A infecção começa em sites de indexação de torrents e fóruns onde os usuários buscam cópias antecipadas ou piratas do filme. Os atacantes fazem upload de um arquivo torrent malicioso que parece legítimo, muitas vezes com tamanhos de arquivo convincentes, contagens de seeders/peers e comentários de usuários. Uma vez baixado e executado, a carga útil inicial não é o malware em si, mas um script do PowerShell. Este script atua como um downloader, projetado para ser leve e evasivo. Sua função principal é recuperar o próximo estágio de um servidor remoto de comando e controle (C2).

É aqui que a campanha introduz uma nova tática. O estágio subsequente frequentemente envolve arquivos de legenda maliciosos (com a extensão .SRT). Legendas são um tipo de arquivo confiável, raramente escaneado com alta suspeita por software de segurança ou usuários finais. O script do PowerShell baixa e executa esses arquivos de legenda, que contêm código ofuscado projetado para baixar e implantar a carga útil final: o AgentTesla.

AgentTesla: a carga útil final

A implantação do AgentTesla marca a conclusão bem-sucedida do ataque. Este malware maduro, disponível comercialmente, é um rouba-dados formidável. Uma vez instalado em um sistema Windows da vítima, ele inicia uma operação abrangente de coleta de dados:

• Roubo de credenciais: Ele extrai senhas salvas, cookies e dados de preenchimento automático de uma ampla gama de navegadores da web, incluindo Chrome, Firefox, Edge e Brave.
• Espionagem do sistema: O malware ativa o keylogging para capturar cada tecla pressionada, tira capturas de tela periódicas e extrai dados de clientes de e-mail instalados, como Outlook e Thunderbird.
• Foco em finanças e cripto: Ele caça especificamente informações de carteiras de criptomoedas e credenciais para plataformas financeiras.
• Persistência e exfiltração: O AgentTesla estabelece mecanismos de persistência para sobreviver a reinicializações e transmite sorrateiramente todos os dados roubados para servidores controlados pelos atacantes.

Análise técnica e técnicas de evasão

A campanha emprega várias técnicas para evitar a detecção. O uso do PowerShell, uma ferramenta administrativa legítima, permite que a execução inicial se misture com a atividade normal do sistema. O processo de múltiplos estágios, separando o downloader da carga útil final, torna a análise estática do arquivo torrent inicial menos eficaz. A ofuscação dentro dos arquivos de legenda e o uso de infraestrutura C2 dinâmica complicam ainda mais os esforços defensivos. Essa abordagem modular indica um nível de planejamento além de simples distribuições oportunistas de malware.

Impacto e recomendações para a comunidade de cibersegurança

O impacto desta campanha é avaliado como ALTO. Ela combina com sucesso um malware de alta potência com uma engenharia social excepcionalmente eficaz. Ao aproveitar um evento cinematográfico global, os atacantes garantem um grande pool de vítimas em potencial motivadas pela curiosidade e impaciência, muitas vezes levando a uma redução nas barreiras de segurança.

Recomendações para organizações e indivíduos:

1. Educação do usuário é primordial: Programas de conscientização em segurança devem destacar os riscos de software e mídia piratas, enfatizando que arquivos executáveis (.exe, .scr, .ps1) e até mesmo arquivos aparentemente inertes como .SRT de fontes não confiáveis ​​são ameaças extremas.
2. Detecção e resposta em endpoint (EDR): Implante soluções EDR capazes de detectar comportamentos suspeitos do PowerShell, como scripts que fazem conexões de rede para baixar e executar mais código.
3. Controle de aplicativos: Implemente políticas, como o Controle de Aplicativos do Windows Defender, para restringir a execução de scripts do PowerShell e executáveis não autorizados, especialmente em estações de trabalho não administrativas.
4. Monitoramento de rede: Monitore conexões de saída para tráfego para endereços IP desconhecidos ou suspeitos, um indicador comum de que o AgentTesla e rouba-dados similares estão exfiltrando dados.
5. Inteligência de ameaças: Assine feeds que forneçam indicadores de comprometimento (IOCs) relacionados ao AgentTesla e sua infraestrutura associada para bloquear domínios e IPs maliciosos conhecidos no perímetro da rede.

Conclusão

A campanha 'One Battle After Another' é um lembrete severo de que as táticas do cibercrime evoluem em conjunto com as tendências populares. A mudança de iscas focadas no Oscar para blockbusters mainstream, juntamente com o uso inovador de arquivos de legenda, demonstra o refinamento contínuo por parte dos atacantes de seus métodos de engenharia social e entrega técnica. Para profissionais de cibersegurança, isso ressalta a necessidade de defesas em camadas que combinem controles técnicos com a educação contínua dos usuários sobre o cenário em constante mudança das ameaças digitais. O apelo do conteúdo gratuito continua sendo uma das armas mais potentes no arsenal do atacante.