COVID-19. Hackers utilizam OMS e ONU para campanhas de phishing

O COVID-19 encontra-se no epicentro da atualidade informativa, o que desperta a atenção de grande parte dos hackers que acabam por aproveitar esta situação para lançar campanhas de ataques maliciosos. 

A Check Point registou mais de 190 mil ciberataques semanais relacionados com a pandemia só nas duas primeiras semanas de maio. Estes dados pressupõem um aumento da atividade em 30%, quando comparado com as semanas anteriores, e, nesta nova onda de ataques, os cibercriminosos continuam a apostar no phishing como principal vetor de ciberameaça, fazendo-se passar por instituições como a Organização Mundial de Saúde (OMS), pela ONU ou empresas privadas e aplicações como Zoom, Microsoft Team ou Google Meet.

"Nas últimas semanas detetamos algumas mudanças: os cibercriminosos aumentaram a sua atividade e estão a focar-se em falsear a identidade de organismos governamentais e entidades de renome na área da Saúde para conseguirem aumentar a sua taxa de êxito”, explica Omer Dembinsky, Cyber Research Director da Check Point. 

Os cibercriminosos têm estado a enviar campanhas massivas de phishing através de correio eletrónico fazendo-se passar pela OMS a partir do domínio "who.int". Estas comunicações continham um ficheiro chamado "xerox_scan_covid-19_carta de informação urgente.xlxs.exe" infetado com o malware Agent Tesla, que permite roubar passwords do dispositivo da vítima

Têm ainda sido utilizados e-mails que contem assuntos como "Carta urgente da OMS: Primeiro teste da vacina COVID-19 em humanos/atualização de resultados" com objetivo de captar a atenção das vítimas. Os investigadores de Check Point também encontraram dois exemplos de correios eletrónicos de extorsão supostamente enviados pelas Nações Unidas e pela OMS onde solicitavam o envio de fundos para carteiras de bitcoin.

Desde janeiro de 2020 que se registaram um total de 6.576 domínios relacionados com o Zoom no mundo inteiro, dos quais 2.449 (37%) foram adquiridos nas últimas três semanas. Serviços similares como o Google Meet ou o Microsoft Teams também têm sido usados por cibercriminosos como isco para atrair as suas vítimas por meio de correios eletrónicos com o assunto "foste adicionado a uma equipa no Microsoft Teams" com um URL malicioso que, ao clicar-se sobre o ícone "Abrir Microsoft Teams" inicia o download de malware. Os investigadores da Check Point também descobriram domínios falsos de Google Meets como "Googelmeets\.com", que foi registado pela primeira vez a 27 de abril de 2020. Link este que não redireciona para nenhum website oficial da Google.

“Não podemos esquecer do registo de domínios semelhantes aos dos serviços de videochamada como o Zoom, que nas últimas semanas cresceu substancialmente. Por isso, é fundamental reforçar as medidas de segurança e precaução perante qualquer link ou comunicação que nos chegue, sobretudo se se tratar de um remetente desconhecido”, acrescenta Dembinsky. Desde o início da pandemia, a Check Point registou um valor acima dos 90 mil novos domínios em todo o mundo relacionados com o vírus, e só nas últimas três semanas o número de registos ascende a quase 20 mil, dos quais 2% são maliciosos e outros 15% são considerados suspeitos.

Os especialistas da Check Point alertam para a capacidade dos cibercriminosos se adaptarem a cada fase da pandemia, já que os domínios registados refletem a cronologia da situação mundial: mapas de seguimento de casos e websites com informação sobre os sintomas no início, ajudas económicas até finais de março e mais recentemente domínios relacionados com a volta à normalidade após o pico pandémico, ou sobre uma possível segunda onda pandémica. Ao longo do período da pandemia, os domínios relacionados com os kits de teste e as vacinas mantiveram um nível estável entre os mais comuns.

Com o objetivo de proteger os utilizadores destas ciberameaças, a Check Point reforça a necessidade de ter cuidados perante qualquer mensagem ou ficheiro anexado que tenha sido enviado por um emissor desconhecido, procurar erros ortográficos no corpo do texto ou no próprio URL que possam dar indícios de estarmos perante um domínio falso, desconfiar de ofertas especiais que ofereçam a vacina contra o vírus e, por último, não reutilizar passwords entre diferentes aplicações e contas.