Falha no Microsoft Excel permite esconder malware em imagem JPEG no Windows
Campanha usa trojan XWorm 7.2 para assumir controle total do PC
Uma nova campanha de phishing explora uma vulnerabilidade no Microsoft Excel para espalhar o malware XWorm 7.2 em computadores com Windows. O ataque chama atenção porque esconde o código malicioso dentro de uma imagem JPEG aparentemente comum.
Os criminosos enviam e-mails que simulam cobranças, pedidos de pagamento ou documentos bancários. No entanto, o anexo não traz nenhuma informação legítima. Em vez disso, o arquivo inicia uma cadeia de execução que instala o trojan de acesso remoto (RAT) na máquina da vítima.
De acordo com pesquisadores da Fortinet, os golpistas utilizam processos corporativos falsos para dar aparência de legitimidade à mensagem. Dessa forma, aumentam as chances de o usuário abrir o arquivo e ativar a ameaça.
Como funciona o ataque
Primeiramente, o usuário recebe um e-mail com tom de urgência. Em seguida, ao abrir o arquivo do Excel anexado, o sistema executa um script oculto. Esse script utiliza o PowerShell para baixar uma imagem JPEG que, à primeira vista, parece inofensiva.
No entanto, a imagem carrega o malware XWorm 7.2 embutido em seu código. Depois disso, o software malicioso ativa o Msbuild.exe, ferramenta legítima do Windows. Em vez de executar sua função original, o programa passa a rodar o código malicioso inserido pelos invasores.
Como o ataque utiliza ferramentas nativas do sistema operacional, muitos antivírus não identificam comportamento suspeito. Consequentemente, a infecção ocorre de forma silenciosa.
Versão mais sofisticada do XWorm
Embora o XWorm exista desde 2022, a versão 7.2 apresenta melhorias preocupantes. Segundo os pesquisadores, essa edição circula inclusive em canais do Telegram e oferece recursos mais avançados que as anteriores.
Além disso, o trojan permite a instalação de mais de 50 plugins maliciosos. Com isso, os criminosos ampliam o alcance da invasão e assumem controle quase total da máquina infectada.
Roubo de senhas, Wi-Fi e espionagem
Após a infecção, o malware coleta credenciais armazenadas no navegador, incluindo senhas e cookies. Além disso, os invasores conseguem capturar chaves de redes Wi-Fi salvas no sistema.
O XWorm também pode registrar teclas digitadas, acessar a webcam da vítima e até incorporar funções de ransomware. Em alguns casos, o software ainda permite a execução de ataques de negação de serviço distribuída (DDoS).
Devido à complexidade da estrutura e à ocultação dentro de processos legítimos, a remoção do malware se torna extremamente difícil. Portanto, especialistas recomendam atenção redobrada com anexos de e-mail, especialmente aqueles que simulam cobranças ou documentos financeiros urgentes.
