Contexto da campanha de roubo de dados
A atividade do malware Destiny Stealer está em ascensão na Europa e nos Estados Unidos, colocando contas corporativas, acesso remoto, dados de e-mail e informações comerciais sensíveis em risco. A análise de amostras recentes indica que um único endpoint infectado pode expor senhas, cookies de sessão, detalhes de VPN, dados do Outlook, carteiras de criptomoedas, perfis de Wi-Fi e capturas de tela.
Para líderes de segurança, a maior preocupação é a visibilidade atrasada. Algumas amostras não apresentavam detecções no VirusTotal ou atribuição clara no momento da análise, aumentando o risco de que o roubo de credenciais se desenvolva em sequestro de conta, fraude ou incidente de segurança mais amplo antes que o SOC possa responder.
Análise técnica da cadeia de ataque
O Destiny Stealer segue uma sequência de ataque clara e metódica. Após a execução, o malware realiza uma verificação de IP público, entrando em contato com ipinfo[.]io para identificar o endereço IP público do sistema infectado. Em seguida, cria um diretório temporário em %TEMP%\
O malware coleta dados sensíveis, incluindo informações de navegador, cookies, senhas, armazenamento de extensões de carteira, dados do Outlook, informações de VPN e FileZilla, perfis de Wi-Fi e capturas de tela. As informações roubadas são compactadas em um arquivo .zip em %TEMP%\
Por fim, os dados são exfiltrados por dois canais: HTTP para destinystealer[.]com/fileicin[.]php e TCP bruto para tipidor-38534[.]portmap[.]host. Essa redundância no canal de exfiltração aumenta a probabilidade de sucesso do ataque e dificulta a detecção baseada apenas em um único ponto de saída.
Impacto operacional para empresas
O Destiny Stealer não deve ser tratado apenas como malware em um endpoint, mas como um risco de identidade e acesso. Uma vez que senhas, cookies de sessão, detalhes de VPN e dados do Outlook saem do dispositivo, remover o arquivo malicioso sozinho pode não ser suficiente. O risco de sequestro de conta, exposição de dados, interrupção operacional e risco regulatório é significativo.
Para organizações, isso cria vários caminhos possíveis para comprometimento adicional. Cookies roubados podem ajudar atacantes a contornar controles de login, dados de VPN podem expor acesso interno e informações de e-mail podem apoiar fraude ou comprometimento de e-mail corporativo (BEC).
Medidas de mitigação recomendadas
As equipes de resposta devem usar as evidências da investigação para:
- Isolar o endpoint afetado: Impedir a propagação lateral e a exfiltração contínua de dados.
- Revogar sessões ativas: Invalidar tokens de sessão e credenciais expostas imediatamente.
- Revisar atividades de VPN e e-mail: Investigar acessos anômalos e tráfego de dados incomum.
- Bloquear infraestrutura maliciosa: Adicionar domínios e destinos de rede identificados às listas de bloqueio.
- Hunt por atividade relacionada: Procurar pelo mesmo arquivo, arquivo compactado e padrões de comunicação em todo o ambiente.
Integração com ferramentas de segurança
Conectar descobertas de sandbox com SIEM, SOAR, EDR e controles de identidade ajuda as equipes a passar da confirmação para o contenção sem esperar por detecção mais ampla do fornecedor. A análise comportamental em sandbox interativo ajuda as equipes a confirmar atividade maliciosa, mostrando o que o arquivo faz após a execução.
Isso significa triagem mais rápida, evidências mais claras para contenção e menos tempo gasto em investigações inconclusivas. Analistas podem ver quais dados são coletados, onde são armazenados e como saem do dispositivo antes que o incidente se expanda.
O que os CISOs devem fazer imediatamente
Os CISOs devem priorizar a visibilidade comportamental e a resposta rápida a incidentes de roubo de credenciais. A implementação de soluções de sandbox interativo e a integração de IOCs com ferramentas de detecção são essenciais para reduzir a janela de exposição.
Além disso, é crucial revisar as políticas de acesso e autenticação, garantindo que a autenticação multifator (MFA) esteja habilitada para todos os serviços críticos e que as senhas sejam alteradas periodicamente. A conscientização dos usuários sobre phishing e engenharia social também deve ser reforçada para prevenir a infecção inicial.