Cibercriminosos realizam ataques a hotéis no Brasil para roubar dados de cartão de crédito

Uma nova série de ataques a hotéis foi detectada no Brasil e em outros países da América Latina. A empresa de cibersegurança Kaspersky identificou que essas ações estão ligadas ao grupo TA558, também conhecido como RevengeHotels. Este agente malicioso tem um longo histórico de atuação, com atividades registradas desde pelo menos 2015.

O principal objetivo do grupo é roubar dados de cartões de crédito de clientes. Eles visam sistemas de hospedagem, com foco especial em serviços populares como o Booking.com, muito usado pelos brasileiros. Os cibercriminosos buscam informações financeiras sensíveis para uso indevido.

Como os Ataques a Hotéis Acontecem

Nos incidentes mais recentes, o TA558 utilizou trojans de acesso remoto, chamados de “RAT” (Remote Access Trojans), para assumir o controle dos sistemas de hotéis infectados. O método de distribuição desses programas maliciosos é o tradicional phishing. Este termo se refere a e-mails fraudulentos, muitas vezes disfarçados de recibos de reserva ou outras comunicações enganosas, que tentam “fisgar” as vítimas.

Quando um arquivo malicioso é executado, ele instala os softwares necessários para o golpe. Essa instalação acontece por meio de linguagens de programação como JavaScript e PowerShell. A combinação dessas ferramentas permite que os criminosos tenham acesso aos sistemas e roubem as informações.

Um detalhe interessante nos novos ataques é o uso de inteligência artificial para criar os códigos maliciosos. O malware Venom RAT, que se destacou nos últimos incidentes, teve uma boa parte de sua programação desenvolvida por um Agente de Grande Modelo de Linguagem (LLM), similar ao ChatGPT. Essa informação foi confirmada por análises da Kaspersky. A inteligência artificial integrada ao sistema está ganhando espaço, inclusive em usos inesperados.

As evidências que sugerem o uso de IA no desenvolvimento do código incluem:

• Trechos do código mais claros e organizados, facilitando a leitura e a compreensão.
• A presença de placeholders, que são espaços para o autor inserir variáveis ou conteúdos específicos.
• Comentários explicativos detalhando a maioria das operações que o código realiza.
• Pouca ou nenhuma ofuscação, um contraste em relação a outras partes do código malicioso.

Como o malware Venom RAT Opera no Computador das Vítimas?

Mesmo com a programação parcialmente feita por IA, o Venom RAT se mostrou bastante eficaz. Essa eficiência se deve, em parte, à sua base: o malware open-source Quasar RAT. Este último possui uma licença comercial que custa cerca de US$ 650, equivalente a aproximadamente R$ 3450.

Por ser de código-aberto, o material original do Quasar RAT pode ser melhorado e adaptado pela comunidade de desenvolvedores. É nessa etapa que a inteligência artificial pode facilitar bastante o trabalho de personalização.

O Venom RAT possui várias capacidades perigosas. Ele pode roubar dados sensíveis, atuar como um ponto de conexão remoto e resistir a tentativas de eliminação. Para garantir seu funcionamento, o código do malware elimina outros processos que possam interferir, incluindo aqueles relacionados a programas de segurança.

O sistema verifica a cada 50 milissegundos a existência desses processos e os encerra sem alertar o usuário. Assim, o malware consegue operar de forma discreta.

Quando executado com privilégios de administrador, o malware consegue ativar permissões avançadas. Ele se apresenta como um processo essencial do sistema, dificultando seu encerramento manual. Além disso, o Venom RAT pode impedir que o computador entre em modo de suspensão ou que a tela desligue, mantendo-o sempre ativo para seus propósitos.

O Venom RAT também possui ferramentas para se espalhar por meio de dispositivos USB. Ele consegue parar o funcionamento do Microsoft Defender Antivirus e realizar modificações no Registro do Windows e no Agendador de Tarefas. Essas ações visam desativar ou comprometer os recursos de segurança do sistema operacional, facilitando o controle dos criminosos.

Ataques Anteriores do TA558, RevengeHotels

No passado, o grupo RevengeHotels (TA558) utilizava outras táticas de operação, mas com padrões semelhantes aos do Venom RAT. Os ataques envolviam o uso de métodos de phishing para enviar documentos com códigos maliciosos. Estes documentos geralmente eram arquivos do Excel, Word ou PDFs.

Em um dos incidentes, identificado como CVE-2017-0199, uma falha no Microsoft Office foi explorada. Essa vulnerabilidade aumentava a eficácia do ataque, permitindo a instalação de vários outros malwares. Entre eles estavam o Revenge RAT, NjRAT, NanoCoreRAT e 888 RAT, além do ProCC, que era personalizado.

Como Se Proteger do Venom RAT e Outros Trojans de Acesso Remoto

Para se proteger de ameaças como o Venom RAT, é crucial ter atenção redobrada com e-mails e arquivos que você recebe. É sempre bom evitar abrir links ou anexos suspeitos, mesmo que eles pareçam vir de remetentes que você conhece ou confia.

Priorize sempre a verificação da autenticidade das mensagens antes de executar qualquer arquivo. Observe com cuidado o remetente, o conteúdo do e-mail e o formato do documento. Fique de olho em atualizações de segurança.

Outro ponto importante é o cuidado com as permissões e configurações do seu sistema. Malwares desse tipo podem pedir acessos que não são necessários ou explorar falhas para se manter ativos. Eles também buscam controlar seu computador à distância. Por isso, revise as permissões de programas instalados com regularidade e conceda privilégios apenas para softwares que você confia. Fique atento a qualquer aviso sobre atualização de segurança.

Adotar boas práticas de segurança digital ajuda bastante a diminuir os riscos:

• Desconfie de e-mails que peçam ações urgentes ou que tentem se passar por comprovantes de pagamento ou reservas de viagem.
• Nunca clique em links que pareçam suspeitos e não execute arquivos desconhecidos.
• Mantenha seu antivírus sempre atualizado e pense em usar outras ferramentas de detecção para reforçar a segurança.
• Ative os recursos de proteção do seu sistema operacional, como bloqueios e controles de contas de usuário.
• Se desconfiar de uma infecção, desconecte seu computador da internet imediatamente e procure suporte especializado para analisar e remover o malware.

As estratégias dos cibercriminosos estão sempre evoluindo, incorporando novas tecnologias como a inteligência artificial para aprimorar seus ataques. Manter-se informado sobre as últimas ameaças e praticar uma boa higiene digital são passos essenciais para proteger seus dados e sistemas contra esses riscos.

Este conteúdo foi auxiliado por Inteligência Artificial, mas escrito e revisado por um humano.