Group-IB detalha perícia forense de infecção pelo trojan bancário RTM
A Group-IB publicou uma análise forense de um computador infectado pelo trojan bancário RTM, grupo que enviou mais de 11 mil e-mails maliciosos entre setembro e dezembro de 2018 para distribuir o malware. O trojan usa hijacking de ordem de busca de DLL e se disfarça de TeamViewer para manter acesso remoto persistente e facilitar fraude bancária.
O RTM é um dos grupos de cibercrime financeiro mais antigos e persistentes voltados à Rússia e países vizinhos, especializado em trojans bancários distribuídos em escala industrial por e-mail. A análise forense da Group-IB reconstrói, a partir de um único computador infectado, como uma campanha de mais de 11 mil e-mails maliciosos enviados em poucos meses se traduz em comprometimento efetivo de vítimas e acesso não autorizado a contas bancárias corporativas.
Tecnicamente, o malware se apoia em duas técnicas de persistência bem estabelecidas. A primeira é a manipulação das chaves 'Run' do registro do Windows, que garantem que o processo malicioso seja reiniciado automaticamente toda vez que o usuário faz login — uma técnica simples, mas eficaz, porque sobrevive a reinicializações da máquina sem depender de exploits. A segunda, mais sofisticada, é o DLL search order hijacking: o malware planta uma biblioteca maliciosa em um diretório local que o sistema operacional consulta antes do caminho legítimo do sistema, fazendo com que uma aplicação confiável carregue, sem saber, código malicioso no lugar da DLL original.
O detalhe mais revelador da análise é o disfarce final: o trojan se apresenta como o TeamViewer, software de acesso remoto amplamente usado e confiável em ambientes corporativos, e desativa deliberadamente os logs dessa ferramenta. Esse disfarce cumpre duas funções ao mesmo tempo — reduz a suspeita de administradores que veem o processo rodando (é 'só o TeamViewer') e fornece ao atacante um canal de acesso remoto pronto para uso, que pode ser usado para operar diretamente o computador da vítima durante uma sessão bancária, contornando controles antifraude que dependem de reconhecer o dispositivo ou a sessão como legítima.
Para instituições financeiras e times de segurança corporativa, o caso reforça duas frentes de defesa. Primeiro, monitoramento de integridade de processos que sinalize quando um binário nomeado como software legítimo (TeamViewer, AnyDesk etc.) é carregado a partir de um caminho ou hash inesperado — indicativo de DLL hijacking. Segundo, para bancos, esse padrão de fraude (acesso remoto disfarçado operando a sessão da vítima) é exatamente o que soluções de detecção comportamental e device fingerprinting tentam capturar: velocidade de digitação, padrões de mouse e características do dispositivo que destoam do perfil histórico do titular da conta são sinais fortes de que uma sessão está sendo operada remotamente por um trojan, mesmo quando login e senha corretos são usados.