Análises revelam que, após explorar com sucesso as vulnerabilidades, o malware FinSpy (também conhecido como FinFisher) é instalado no computador da vítima. O FinSpy é um malware comercial, tipicamente vendido a estados-nação e forças policiais para efeitos de vigilância. No passado, a utilização do malware era maioritariamente doméstica, com forças policiais a tirarem partido do mesmo para vigilância de alvos locais. O BlackOasis é uma exceção significativa, utilizando o malware contra uma vasta quantidade de alvos em todo o mundo, o que sugere que o FinSpy alimenta agora operações de inteligência globais, com um país a utilizar o malware contra outro. Empresas que desenvolvem software de vigilância como FinSpy tornam possível esta corrida às armas.

O malware utilizado nos ataques é a versão mais recente do FinSpy, equipado com várias técnicas de análise para dificultar a análise forense.

Após a instalação, o malware aloca uma âncora ao computador atacado e conecta-o aos servidores de comando e controlo localizados na Suíça, Bulgária e Holanda, ficando à espera de mais instruções até eliminar dados. 

Com base no relatório da Kaspersky Lab, os interesses do BlackOasis abrangem um conjunto de atores envolvidos nas políticas do Médio Oriente, incluindo figuras das Nações Unidas, bloggers de oposição e ativistas, bem como correspondentes de meios regionais. Existe também um aparente interesse em vértices de especial relevância para a região. Em 2016, os investigadores da Kaspersky Lab registaram um elevado interesse em Angola, exemplificado por documentos-isco que indicavam alvos com suspeitas de ligação a petróleo, lavagem de dinheiro e outras atividades. Existe também um interesse em ativistas internacionais e laboratórios de ideias.

Até agora, vítimas do BlackOasis foram encontradas em diferentes países: Rússia, Iraque, Afeganistão, Nigéria, Líbia, Jordânia, Tunísia, Arábia Saudita, Irão, Holanda, Bahrain, Reino Unido e Angola.

“Com este ataque que utiliza a ameaça mais recentemente descoberta – zero day –, é a terceira vez este ano que identificámos a distribuição do FinSpy através da exploração de vulnerabilidades do zero day. Anteriormente, os atores que utilizavam este malware tiravam partido dos aspetos críticos dos produtos do Microsoft Word e da Adobe. Acreditamos que o número de ataques com base no software FinSpy e apoiado pelas ameaças zero day, como as já descritas, irá continuar a aumentar,” comenta Anton Ivanov, Principal Investigador de Malware na Kaspersky Lab.

As soluções de segurança da Kaspersky Lab detetam e bloqueiam com eficácia as ameaças que utilizam a mais recente vulnerabilidade.

Especialistas da Kaspersky Lab aconselham as organizações a levar a cabo as seguintes medidas para proteger os seus sistemas e dados desta ameaça:

• Se ainda não está instalado, utilizar a função killbit para o software Flash e, sempre que possível, desativa-lo por completo.
• Implementar uma solução de segurança avançada e de multicamadas que abranja todas as redes, sistemas e endpoints.
• Educar e treinar colaboradores em técnicas de engenharia social, uma vez que este método é utilizado para levar uma vítima a abrir documentos maliciosos ou a clicar em links
• Levar a cabo testes de segurança regulares às estruturas IT da organização.
• Utilizar a solução Threat Intelligence da Kaspersky Lab que rastreia ciberataques, incidentes ou ameaças e proporciona informação relevante e atualizada aos seus clientes. Mais informação disponível em Este endereço de email está protegido contra piratas. Necessita ativar o JavaScript para o visualizar..

Para informações técnicas, incluindo parâmetros de compromisso e regras YARA, os interessados podem visitar o blog em Securelist.com.