Grupo Velvet Tempest Utiliza Anúncios Maliciosos e Falsas Verificações para Invadir Redes Corporativas
Cibercriminosos do grupo Velvet Tempest, também conhecido como DEV-0504, estão empregando malvertising e uma técnica de verificação de segurança enganosa para acessar redes corporativas. O método envolve a exploração de um falso CAPTCHA e a instrução para colar comandos no Windows Run, executando código malicioso.
Tática de Ataque Detalhada
O grupo Velvet Tempest, com pelo menos cinco anos de atividade no ecossistema criminoso de ransomware, utiliza uma abordagem multifacetada para infiltrar redes. A porta de entrada para os ataques inicia-se com 'malvertising', uma técnica de publicidade maliciosa onde anúncios online fraudulentos direcionam as vítimas para uma página falsa. Esta página emprega duas camadas de engano: um falso CAPTCHA, projetado para ludibriar os usuários fazendo-os acreditar que estão completando uma verificação de segurança padrão, seguido pela técnica ClickFix. A vítima é instruída a abrir a janela de execução do Windows (Win+R) e colar um comando que já foi copiado automaticamente para a área de transferência. Ao executar este comando, o usuário involuntariamente roda código malicioso diretamente em seu sistema operacional.
Velvet Tempest e o Modelo de Afiliados de Ransomware
O Velvet Tempest atua como um grupo afiliado no mercado de ransomware, o que significa que colabora com desenvolvedores de malware, utiliza suas ferramentas e divide os lucros obtidos com os resgates. Essa modalidade de atuação permitiu que o grupo deixasse rastros em diversas campanhas de ransomware notórias nos últimos anos, incluindo Ryuk, REvil, Conti, BlackCat/ALPHV, LockBit e RansomHub.
Impacto e Alerta de Segurança
A empresa de cibersegurança MalBeacon publicou um alerta em março, detalhando as ações observadas do grupo durante um período de 12 dias em um ambiente monitorado. Este ambiente simulava uma organização sem fins lucrativos americana com mais de 3.000 computadores, evidenciando o alcance e a sofisticação das operações do Velvet Tempest.