Aryaka, empresa de segurança de redes, alertou sobre uma campanha de ciberataque que tem início em um arquivo de currículo hospedado em um serviço de nuvem confiável e transmitido por meio do YouTube. A operação envolve múltiplas etapas e termina com a ativação de um módulo chamado BlackSanta, projetado para desativar as defesas da vítima antes de exfiltrar dados sensíveis.

Quem e por que o RH é alvo

Os atacantes miram profissionais de recursos humanos porque esses trabalhadores frequentemente recebem e baixam currículos de desconhecidos e enfrentam pressa nas rotinas de seleção. Essas equipes costumam ter acesso a sistemas internos e dados pessoais de funcionários e candidatos, mas, em muitas organizações, dispõem de menos proteções que áreas como TI ou financeiro. Os invasores exploram essa combinação de acesso privilegiado e menor vigilância.

Como o golpe é executado

A cadeia de infecção começa quando a vítima recebe um link — transmitido via YouTube — que aponta para o que aparenta ser um currículo em um serviço de nuvem reconhecido. O arquivo disponível para download é um ISO, formato que simula a estrutura de um disco físico e pode ser montado pelo sistema operacional como se fosse um dispositivo removível.

Ao abrir o disco virtual, o usuário vê um documento que parece ser um currículo, mas trata-se na verdade de um arquivo LNK (atalho do Windows). Esse atalho pode executar comandos no sistema quando acionado, o que dispara a sequência de ataque sem que o usuário perceba.

Payload e ocultação

O atalho aciona comandos via PowerShell, ferramenta legítima do Windows, estratégia conhecida como Living-off-the-Land por aproveitar recursos nativos do sistema. Esses comandos extraem o malware de uma imagem que aparenta ser inofensiva através de esteganografia, técnica que oculta dados dentro de arquivos visuais. Em seguida, o código malicioso se instala fingindo ser um programa confiável, com suposta certificação digital da Microsoft, dificultando sua detecção.

BlackSanta e a neutralização das defesas

O componente crítico, BlackSanta, primeiro verifica se está em um ambiente de análise; se identificar sinais de monitoramento, não executa suas rotinas. Em ambiente real, ele emprega a técnica BYOVD (Bring Your Own Vulnerable Driver), carregando drivers assinados digitalmente pela Microsoft porém com vulnerabilidades conhecidas. Com isso, o módulo explora essas falhas para interromper processos de antivírus, desativar agentes de EDR, suprimir logs de atividade e ocultar consoles de segurança, neutralizando as defesas internamente.

Imagem: Divulgação

Roubo de dados

Com as proteções desligadas, o malware coletat credenciais e informações relacionadas a carteiras de criptomoedas e envia esses dados de forma criptografada aos operadores do ataque. O relatório da Aryaka descreve a incursão como uma cadeia de ataque cuidadosamente planejada por um adversário tecnicamente sofisticado que aproveitou uma vulnerabilidade de processo no RH como porta de entrada.





O alerta destaca a necessidade de atenção às práticas de segurança em áreas que recebem arquivos externos e à verificação de assinaturas e origem de arquivos mesmo quando hospedados em serviços de nuvem considerados confiáveis.

Com informações de Tecmundo