Malware Qakbot

O Qakbot (também conhecido como Qbot ou Pinkslipbot) é um malware modular de segundo estágio com recursos de backdoor, inicialmente concebido como um ladrão de credenciais, e foi apontado pela CISA como uma das principais linhagens de malware de 2021. Classificado como trojan bancário, worm e trojan de acesso remoto (RAT), o Qakbot rouba dados confidenciais e tenta se autopropagar para outros sistemas na rede. O Qakbot também oferece recursos de execução remota de código (RCE), permitindo que os invasores realizem ataques manuais para atingir objetivos secundários, como a varredura da rede comprometida ou a injeção de ransomware. 

O Qakbot tem sido usado por gangues de ransomware de ponta, como REvil, ProLock e Lockbit, para distribuir várias linhagens de ransomware de caça de grandes jogos. Os vários módulos do Qakbot também permitem o direcionamento automatizado de dados financeiros, e-mails armazenados localmente, senhas do sistema ou hashes de senhas, senhas de sites e cookies de caches de navegadores da Web. Eles também podem registrar as teclas digitadas para roubar qualquer credencial digitada.

Descoberto em 2008, o Qakbot passou por atualizações constantes durante sua vida útil, e seu uso flutua com seu ciclo de atualização. Depois que as versões atualizadas foram disponibilizadas em 2015, o Qakbot ganhou novo impulso; em 2020, os pesquisadores de ameaças observaram que o lançamento de uma nova cepa do Qakbot resultou em um aumento de 465% em sua participação anual nos ataques cibernéticos. Em 2021, o Qakbot foi utilizado na proeminente violação cibernética da JBS, que interrompeu suas instalações de produção de carne e forçou o pagamento de um resgate de US$ 11 milhões.

Como um kit de exploração de segundo estágio, o Qakbot é introduzido no sistema de um alvo por um malware de download de primeiro estágio, seja como parte da exploração inicial ou logo após a obtenção do acesso inicial. As violações do acesso inicial podem ocorrer por meio de várias técnicas, como malspam ou phishing de e-mail com um documento trojanizado, exploração de uma vulnerabilidade pública ou ataques internos mal-intencionados. 

Uma vez operando em um sistema-alvo, o Qakbot procura roubar credenciais e se espalhar para outros hosts na rede usando o Microsoft PowerShell e o kit de exploração Mimikatz. 

O Qakbot usa várias técnicas para roubar informações confidenciais das vítimas, incluindo:

• Monitorar as teclas digitadas e enviar os registros para sistemas controlados por invasores
• Enumerar arquivos de sistema para identificar hashes de senha armazenados
• Pesquisa nos caches de senha do navegador para roubar senhas armazenadas usando o recurso de preenchimento automático do navegador

O método mais eficaz para evitar uma infecção pelo Qakbot é impedir que os atacantes obtenham acesso inicial e impedir que o Qakbot se espalhe pela rede, caso já tenha obtido acesso inicial. 

Táticas defensivas para impedir o acesso inicial do Qakbot

• Considere o treinamento de conscientização do usuário para instruir o pessoal sobre técnicas de phishing e desenvolva procedimentos operacionais padrão para lidar com e-mails e documentos suspeitos
• Configure os clientes de e-mail para notificar os usuários quando os e-mails forem originados de fora da organização e bloqueie todos os anexos de arquivos.zip protegidos por senha.
• Configure os aplicativos do Microsoft Office para bloquear a execução de macros VBA
• Desenvolver e manter um programa de gerenciamento de vulnerabilidades para verificar periodicamente se há vulnerabilidades nos serviços voltados para o público e corrigi-las imediatamente
• Instale as atualizações do sistema operacional e dos aplicativos e os patches de segurança o mais rápido possível depois que eles estiverem disponíveis

Táticas defensivas para impedir o movimento lateral do Qakbot

• Implemente controles de acesso robustos com base no princípio do menor privilégio 
• Aplique políticas de senha que exijam um espaço de chave forte para reduzir as chances de hashes de senha violados serem quebrados off-line.
• Realizar varreduras regulares de vulnerabilidade e corrigir as vulnerabilidades identificadas
• Use dispositivos de segurança de rede, como IDS e firewalls de última geração, e fortaleça ainda mais uma rede e segmente sistemas críticos em uma VLAN separada e em um domínio do Windows.
• Instale e configure produtos de segurança de endpoints que farão a varredura de documentos criptografados imediatamente após serem descriptografados e identificarão IOCs na rede e em seus endpoints
• Implementar soluções Zero Trust sempre que possível, dando prioridade aos sistemas críticos