Como o SEO Poisoning leva a sites falsos de apps famosos
Pesquisadores da Kaspersky identificaram uma nova campanha maliciosa que combina SEO Poisoning com typosquatting para enganar usuários que buscam baixar programas populares. Foram criados mais de 90 sites falsos que imitam perfeitamente as páginas oficiais de aplicativos como OBS Studio (usado por streamers), o emulador DS4Windows e o utilitário DNS Jumper.
O SEO Poisoning é uma técnica já conhecida no meio da segurança digital: os criminosos manipulam os resultados de busca (Google, Bing) para que sites fraudulentos apareçam entre os primeiros lugares. Combinado com typosquatting — registro de domínios com erros mínimos de digitação, como “obssstudio.com” em vez de “obsstudio.com” —, a armadilha fica quase imperceptível para o usuário comum.
Segundo Denis Kulik, pesquisador da Kaspersky que publicou a descoberta, os sites falsos são visualmente idênticos aos originais, com logos, descrições e botões de download que enganam até mesmo olhos treinados. O objetivo é fazer com que a vítima baixe um arquivo aparentemente legítimo, mas que na verdade contém o ScreenConnect adulterado.
Para o consumidor brasileiro, o alerta é especialmente relevante: o OBS Studio é amplamente utilizado em transmissões ao vivo no país, e o DS4Windows é comum entre gamers que usam controles de PlayStation no PC. A recomendação é sempre verificar a URL completa antes de clicar em qualquer link de download.
A técnica Living off the Land: ferramentas legítimas como vetor de ataque
Um dos aspectos mais sofisticados dessa campanha é o uso da técnica Living off the Land (LotL). Em vez de desenvolver exploits complexos ou usar malwares que dependem de vulnerabilidades zero-day, os criminosos se aproveitam de ferramentas legítimas do sistema operacional e de softwares assinados digitalmente para executar o ataque.
No caso, o ScreenConnect é um software oficial de suporte remoto, amplamente utilizado por empresas de TI. O executável baixado nos sites falsos tem certificação digital válida da Microsoft — o que significa que o Windows não exibe nenhum aviso de segurança durante a instalação. Porém, os arquivos internos foram adulterados para incluir scripts maliciosos.
Essa abordagem torna a detecção muito mais difícil para antivírus tradicionais, pois o código malicioso roda dentro de um processo considerado confiável pelo sistema. É como se um ladrão entrasse em sua casa usando uma chave legítima do porteiro — o alarme não dispara porque a chave é reconhecida como válida.
Na prática, o usuário não percebe nada de anormal: a instalação do aplicativo ocorre normalmente, e o programa parece funcionar como esperado. Enquanto isso, nos bastidores, o sistema está sendo comprometido de forma silenciosa e persistente.
O passo a passo da infecção: como o AsyncRAT assume o controle
O processo de infecção é meticulosamente orquestrado em várias etapas, todas executadas de forma automática após o usuário clicar no instalador adulterado. Veja como cada fase acontece:
- Ativação da biblioteca falsa: assim que o instalador é executado, o sistema carrega uma biblioteca de arquivos maliciosos que acompanha o ScreenConnect adulterado.
- Instalação oculta do utilitário Microsoft Update Service: em paralelo à interface de instalação legítima, um programa falso com esse nome é instalado silenciosamente no sistema.
- Desativação do Microsoft Defender: o ScreenConnect inicia um script em PowerShell que altera o registro do Windows, instruindo o Defender a ignorar discos rígidos e pastas públicas — essencialmente cegando o antivírus nativo.
- Injeção na memória RAM: um arquivo de texto contendo o código do AsyncRAT é injetado na memória RAM, esvaziando um processo confiável do sistema.
- Substituição do processo: o malware AsyncRAT é instalado exatamente no lugar do processo legítimo que foi esvaziado. O sistema operacional continua acreditando que aquele processo é verdadeiro, pois mantém o mesmo nome e PID (identificador de processo).
Para garantir que o vírus sobreviva a reinicializações, os invasores criam uma tarefa agendada no Windows que executa todo o script de infecção a cada dois minutos. Isso significa que mesmo que o usuário reinicie o computador, o AsyncRAT será reativado automaticamente em poucos minutos.
O AsyncRAT é um malware de acesso remoto (RAT) que permite ao atacante controlar completamente o dispositivo: capturar teclas digitadas, roubar senhas, acessar arquivos, ativar a webcam e até mesmo usar o computador como parte de uma botnet para ataques DDoS.
Por que o Microsoft Defender foi desligado e como isso afeta você
Um dos passos mais críticos do ataque é a desativação do Microsoft Defender via alteração no registro do Windows. O script em PowerShell modifica chaves específicas que controlam quais pastas e discos o antivírus monitora. Na prática, o Defender continua rodando, mas fica cego para as áreas onde o malware opera.
Isso é especialmente perigoso porque a maioria dos usuários confia no Defender como camada primária de proteção, especialmente após a Microsoft ter melhorado significativamente o software nos últimos anos. A técnica explora justamente essa confiança: o usuário acredita que está protegido, mas o antivírus foi configurado para ignorar exatamente o que deveria detectar.
Vale destacar que essa vulnerabilidade não é uma falha de segurança no Defender em si, mas sim uma consequência de permissões excessivas concedidas a scripts executados com privilégios de administrador. Por isso, é fundamental que usuários evitem executar instaladores baixados de fontes não verificadas, mesmo que pareçam legítimos.
No Brasil, onde muitos usuários ainda utilizam versões não licenciadas do Windows ou desabilitam manualmente o Defender por acharem que ele “atrapalha”, o risco é ainda maior. Manter o antivírus ativo e com todas as proteções em tempo real habilitadas é uma medida básica, mas essencial.
Como se proteger desse golpe: dicas práticas para evitar o AsyncRAT
A prevenção contra esse tipo de ataque passa principalmente por hábitos seguros de navegação e download. Veja as recomendações dos especialistas da Kaspersky:
- Verifique a URL com atenção: antes de baixar qualquer software, confira se o endereço do site corresponde exatamente ao domínio oficial. Desconfie de URLs com extensões incomuns como “.app”, “.cc” ou “.pro”.
- Evite clicar no primeiro resultado do Google: criminosos compram anúncios e usam SEO para colocar sites falsos no topo das buscas. Role a página e prefira os resultados orgânicos, especialmente aqueles que você já conhece.
- Baixe apenas de fontes oficiais: sempre que possível, acesse diretamente o site do desenvolvedor ou utilize lojas oficiais como a Microsoft Store. Evite sites de download terceiros, mesmo que pareçam confiáveis.
- Mantenha o Windows e o antivírus atualizados: embora o ataque desative o Defender, ter as últimas correções de segurança reduz a superfície de exploração.
- Desconfie de instaladores que pedem permissões administrativas sem motivo aparente: aplicativos legítimos raramente precisam alterar configurações do antivírus ou do registro do sistema.
Para profissionais de TI e empresas, a recomendação é implementar políticas de whitelisting de aplicativos e usar ferramentas de EDR (Endpoint Detection and Response) que monitoram comportamentos anômalos, como alterações no registro do Windows ou injeção em processos confiáveis.
📦 Recomendado pela redação
Echo Pop Alexa
Como afiliado Amazon, o MundoManchete pode receber comissão por compras qualificadas.
Perguntas frequentes sobre o golpe do AsyncRAT via ScreenConnect
O que é o AsyncRAT e o que ele pode fazer no meu computador?
AsyncRAT é um malware de acesso remoto (Remote Access Trojan) que permite ao invasor controlar totalmente o dispositivo infectado. Ele pode capturar teclas digitadas (keylogging), roubar senhas e dados bancários, acessar arquivos pessoais, ativar a webcam e o microfone sem seu conhecimento, e até mesmo transformar seu computador em parte de uma botnet para ataques cibernéticos. Uma vez instalado, o AsyncRAT opera de forma silenciosa, muitas vezes sem que o usuário perceba qualquer sintoma visível. A remoção manual é complexa porque o malware se esconde dentro de processos legítimos do sistema.
Como saber se meu computador foi infectado pelo AsyncRAT?
Os sinais de infecção podem ser sutis, mas alguns indícios incluem: lentidão inexplicável no sistema, aumento no uso de CPU ou memória mesmo com poucos programas abertos, atividade suspeita na rede (tráfego de dados mesmo quando o computador está ocioso), e programas desconhecidos sendo executados em segundo plano. No entanto, como o AsyncRAT é projetado para ser furtivo, muitos usuários só descobrem a infecção após o roubo de dados ou quando um antivírus mais robusto finalmente detecta o malware. Se você suspeitar de infecção, execute uma varredura completa com um antivírus atualizado ou utilize ferramentas específicas de remoção de RATs.
O Microsoft Defender consegue bloquear esse ataque?
Em condições normais, o Microsoft Defender pode detectar o AsyncRAT se estiver com as definições mais recentes. No entanto, o ataque descrito pela Kaspersky desativa seletivamente o Defender alterando o registro do Windows, fazendo com que o antivírus ignore pastas e discos específicos onde o malware opera. Isso significa que, uma vez que o instalador adulterado é executado com privilégios de administrador, o Defender fica cego para a infecção. Para se proteger, evite executar instaladores de fontes não confiáveis e mantenha o Windows sempre atualizado. Empresas devem considerar soluções de segurança adicionais, como EDR, que monitoram comportamentos anômalos independentemente do antivírus tradicional.
O que esperar daqui para frente
A campanha descoberta pela Kaspersky é um alerta sobre a evolução das táticas de engenharia social combinadas com técnicas de Living off the Land. À medida que os sistemas operacionais e antivírus se tornam mais robustos, os criminosos investem cada vez mais em métodos que exploram a confiança do usuário e a legitimidade de ferramentas conhecidas.
Espera-se que ataques semelhantes se tornem mais frequentes, especialmente com o uso de inteligência artificial para criar sites falsos ainda mais convincentes e para automatizar a geração de domínios typosquatting. Para o usuário brasileiro, a principal defesa continua sendo a educação digital: verificar URLs, evitar downloads de fontes não oficiais e desconfiar de instaladores que solicitam permissões excessivas.
Empresas de segurança como a Kaspersky já estão monitorando ativamente esses domínios falsos e trabalhando para incluí-los em listas de bloqueio. No entanto, a responsabilidade pela segurança começa no momento do clique. Fique atento, mantenha seus sistemas atualizados e, sempre que possível, prefira lojas oficiais de aplicativos para fazer downloads.
Tags: AsyncRAT, ScreenConnect, SEO Poisoning, malware, Kaspersky
Fonte Original: tecmundo.com.br
Foto: Reproducao / Tecmundo