Novo malware se disfarça como editor de PDF e preocupa usuários

Pesquisadores identificaram um novo malware sofisticado chamado PDFSIDER, que se disfarça de um editor de PDF legítimo para invadir sistemas sem ser detectado. Esse malware estabelece um acesso persistente e discreto aos computadores infectados, conseguindo passar por várias barreiras de segurança, como antivírus e soluções de EDR (Endpoint Detection and Response).

A infecção geralmente começa com e-mails de spear-phishing que contêm um arquivo ZIP. Dentro desse arquivo, há um executável assinado digitalmente, denominado “PDF24 App”, que se apresenta como uma ferramenta de edição de PDF. Quando a vítima executa esse arquivo, não há nenhuma interface visível, mas o malware já começa a funcionar em segundo plano.

O PDFSIDER explora uma vulnerabilidade conhecida como carregamento lateral de DLL (Dynamic Link Libraries). Os atacantes colocam um arquivo malicioso chamado cryptbase.dll ao lado do executável do editor de PDF. Quando o programa é iniciado, ele carrega essa biblioteca comprometida em vez da versão legítima do sistema, permitindo que o malware opere sem levantar suspeitas.

No núcleo da operação existe um sistema de comando e controle (C2) que estabelece uma comunicação criptografada com os servidores dos criminosos. O malware utiliza a biblioteca criptográfica Botan com o algoritmo AES-256-GCM para garantir que todas as comunicações sejam mantidas em sigilo e difíceis de serem interceptadas. Os comandos são executados via cmd.exe sem abrir janelas visíveis, e todas as atividades maliciosas ocorrem diretamente na memória do sistema.

Para evitar ser detectado, o PDFSIDER emprega técnicas sofisticadas de evasão. O malware monitora os níveis de memória para identificar ambientes virtualizados ou sandboxes e interrompe sua execução se perceber que está sendo analisado. Além disso, verifica a presença de depuradores e usa tráfego DNS na porta 53 para exfiltrar dados por meio de uma infraestrutura de VPS alugada.

Ao contrário de campanhas mais abrangentes, os ataques com PDFSIDER são altamente direcionados. Os documentos utilizados como isca incluem supostos arquivos internos de órgãos de inteligência da República Popular da China, levantando suspeitas de motivações de espionagem ou operações de inteligência entre nações.