Golpe de BEC usa e-mail falso de banco filipino para instalar infostealer Agent Tesla direto na memória
Uma campanha de Business Email Compromise analisada pela KnowBe4 mostra um e-mail forjado, simulando comunicação interna do Metropolitan Bank and Trust Company sobre uma transferência SWIFT pendente, entregando um script ofuscado que carrega o infostealer Agent Tesla inteiramente em memória, sem gravar o payload final em disco. O malware varre 21 módulos de coleta de credenciais — navegadores, Outlook, Discord, cofre de credenciais do Windows — antes de exfiltrar tudo via FTP, mirando departamentos financeiros para viabilizar fraude de pagamento.
O ataque começa com um e-mail de phishing direcionado a departamentos financeiros, forjando uma discussão interna sobre uma transferência SWIFT pendente do Metropolitan Bank and Trust Company, das Filipinas, com a frase de urgência "KINDLY CONFIRM BELOW ATTACHED AND GET BACK TO US ASAP". É engenharia social clássica de BEC: autoridade (parece vir do banco) somada a pressão de tempo, desenhada para que o analista financeiro abra o anexo antes de questionar a legitimidade do remetente. O anexo é um arquivo JScript de quase 7 MB disfarçado de "SWIFT Payment Maker", que executa direto pelo Windows Script Host.
A cadeia técnica por trás do ataque é sofisticada. O dropper satura o corpo do código com emojis Unicode (corações, gotas) especificamente para confundir mecanismos de detecção por assinatura. Ao rodar, ele grava dois arquivos: um loader .NET de 32 bits e um segundo arquivo disfarçado de fonte TrueType (.ttf) que na verdade é o payload codificado. O loader nunca grava o malware final em disco — em vez disso, injeta o Agent Tesla diretamente na memória via shellcode DonutLoader, técnica de injeção reflexiva que dificulta a detecção por antivírus tradicional baseado em arquivo.
Antes de qualquer coleta, o Agent Tesla roda uma bateria de checagens anti-análise: detecção de debugger, verificação de IP de hospedagem em nuvem, testes de tempo para identificar aceleração de relógio de máquina virtual, checagem de DLLs de sandbox (Sandboxie, Avast, Comodo) e consulta WMI para identificar fabricante/modelo de VM. Só depois disso ativa 21 módulos de coleta, cobrindo 27 variantes de navegadores Chromium e 13 baseados em Mozilla, registro do Outlook, tokens OAuth2 do Discord e o Windows Credential Manager, além de keylogger, captura de clipboard, screenshots e fingerprint de hardware da vítima. Toda a exfiltração vai para um único servidor FTP com credenciais embutidas em texto claro na configuração do malware.
Para reconhecer e responder ao ataque, times de segurança podem monitorar indicadores concretos: o nome do anexo, hash SHA256 divulgado, conexões FTP para o domínio identificado e arquivos gravados em pastas públicas do Windows. Regras YARA voltadas aos pontos de código Unicode usados na ofuscação e à combinação incomum de metadados falsos (o binário se apresenta como Python 3.11 de 64 bits, mas roda como .NET de 32 bits) ajudam a pegar variantes futuras da mesma família. Do ponto de vista organizacional, a defesa mais eficaz continua sendo processual: qualquer solicitação de transferência ou confirmação de pagamento recebida por e-mail, especialmente com tom de urgência, deve ser validada por um canal secundário antes de qualquer ação, e qualquer indício de conexão ao servidor de exfiltração deve disparar rotação imediata de credenciais em todos os navegadores, e-mail e contas corporativas.