{"id":378366,"date":"2023-04-06T17:43:27","date_gmt":"2023-04-06T17:43:27","guid":{"rendered":"https:\/\/redepress.ecompare.com.br\/noticias\/?p=378366"},"modified":"2023-04-06T20:25:22","modified_gmt":"2023-04-06T20:25:22","slug":"nem-pabx-virtual-escapa-de-ciberataques","status":"publish","type":"post","link":"https:\/\/redepress.com.br\/noticias\/2023\/04\/nem-pabx-virtual-escapa-de-ciberataques\/","title":{"rendered":"Nem PABX virtual escapa de ciberataques"},"content":{"rendered":"

Grupo norte-coreano de hackers orquestrou um ataque em cadeia que permitiu<\/em> monitorar as comunicações dos clientes corporativos por meio da plataforma de PABX Virtual 3CX<\/em>,<\/em> modificar o roteamento de chamadas ou intermediar conexões em serviços de voz externos<\/em><\/p>\n

CLM<\/a>, distribuidor latino-americano de valor agregado com foco em segurança da informação, proteção de dados, cloud e infraestrutura para data centers, alerta para um novo tipo de ataque, feito em cadeia<\/strong>, com o objetivo de acessar códigos-fonte, criar processos ou atualizar mecanismos, infectando aplicativos legítimos para distribuir malware. O 3CXDesktopApp, um conhecido aplicativo da 3CX, usado para conferências de voz e vídeo e categorizado como plataforma PABX IP (telefonia e vídeo pela internet) foi comprometido, nos últimos dias, como parte de um ataque em cadeia, chamado de “SmoothOperator”, impetrado pelo grupo APT norte-coreano, o Labyrinth Chollima, associado ao Lazarus.<\/p>  \n

A informação vem de análises feitas pela SentinelOne,<\/strong> especializada em tecnologias de cibersegurança baseada em inteligência artificial que abrange desde a prevenção, a detecção, a resposta e a caça aos ataques, e pela Picus Security<\/strong>, pioneira em simulação de violação e ataque (BAS – Breach and Attack Simulation). Ambas as soluções são distribuídas pela CLM.<\/p>  \n

De acordo com o CEO da CLM, Francisco Camargo, os ataques em cadeia são ameaças emergentes que têm como alvo desenvolvedores e fornecedores de software. “No caso dos ataques em cadeia<\/strong>, os atacantes trojanizam<\/em> um aplicativo, ou seja, instalam um parasita, um malware, que vai ser distribuído dentro do aplicativo, para milhares de clientes e que criam uma porta de acesso (backdoor) para que outros softwares maliciosos possam usá-la para invadir o sistema”, explica o executivo.<\/p>  \n

Para se ter uma ideia da extensão deste ataque, a 3CX afirma, em seu site, que possui 600 mil empresas clientes, de diversos segmentos como automotivo, provedores de serviços gerenciados de TI (MSPs), manufatura etc., com 12 milhões de usuários diários.<\/p>  \n

Segundo análises da Picus, em março de 2023, o grupo APT inseriu um código malicioso no código do aplicativo 3CXDesktopApp e usuários desavisados instalaram as versões contaminadas por meio de downloads ou atualizações diretas.<\/p>  \n

DETALHES DOS ATAQUES EM CADEIA<\/strong><\/p>\n

A SentinelOne explica que, no caso do 3CXDesktopApp, o aplicativo foi trojanizado, sendo este o primeiro estágio de uma cadeia de ataque de vários estágios, quando foram extraídos arquivos ICO anexados com dados base64 do Github que, depois, levaram a um DLL de infostealer.<\/p>  \n

“À medida que analisamos ativamente o instalador malicioso, vemos uma interessante cadeia de ataque em vários estágios se desenrolando. O aplicativo 3CXDesktopApp serve como um carregador de shellcode com shellcode executado a partir do espaço heap. O shellcode carrega reflexivamente uma DLL, removendo o “MZ” no início. Essa DLL, por sua vez, é chamada, por meio de uma exportação nomeada ‘DllGetClassObject’, com os seguintes argumentos:<\/p>\n

1200 2400 “Mozilla\/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit\/537.36 (KHTML, like Gecko) 3CXDesktopApp\/18.11.1197 Chrome\/102.0.5005.167 Electron\/19.1.9 Safari\/537.36”<\/p>\n

Bem como o tamanho desta cadeia User-Agen”, informa o relatório da SentinelOne.<\/p>  \n

Segundo análises da Picus as versões afetadas das versões 3CXDesktopApp são:<\/p>\n