A campanha utiliza e-mails com assuntos diferentes e inclui um anexo malicioso do Microsoft Word para o usuário abrir e baixar o malware. O slogan "Black Lives Matter" é usado para gerar interesse e levar as vítimas a abrir o anexo que afeta as plataformas Windows 10 e Windows Server 2019.

Esses e-mails usam variações nos nomes dos remetentes, como órgãos governamentais e instituições, para evitar filtros de spam ou simplesmente criar confusão. O arquivo anexado é um documento padrão do Microsoft Word com uma imagem genérica que estimula o usuário a habilitar macros.

A campanha usa a mesma estratégia dos ataques anteriores do Trickbot. As pessoas por trás do Trickbot já usaram tópicos atuais sobre tendencias, como a covid-19, para atrair vítimas e ampliar sua base instalada.

Propagação global - Analisando os domínios e a infraestrutura utilizados pelos agentes de ameaças, o FortiGuard descobriu que todos eles são hospedados por um provedor de serviços de Internet na República Tcheca. No entanto, isso não significa muito em termos de atribuição, pois os servidores privados virtuais são fáceis de se instalar com infraestruturas de nuvem sob demanda.

Também foi possível ver um padrão em seu desenvolvimento. Os principais países visados por essa campanha específica são os Estados Unidos e o Canadá, no entanto, também foram encontrados alvos na Europa e na Ásia e há possibilidades de que chegue à América Latina e Brasil em breve.

Mitigação de campanhas de spam maliciosas

Para diminuir a exposição a esse tipo de ataque, a Fortinet recomenda manter todas as ferramentas antivírus (AV) e IPS atualizadas continuamente. É preciso também que as organizações mantenham uma rotina de correção proativa quando houver atualizações de fornecedores disponíveis. Se o patch não for considerado viável, é recomendável que uma solução IPS seja utilizada para controle de proximidade, também conhecido como patch virtual, e que seja realizada uma avaliação de risco para determinar a necessidade de ferramentas adicionais de mitigação dentro do ambiente de rede.

Além disso, as empresas são fortemente encorajadas a realizar sessões de treinamento contínuas para educar e informar a equipe sobre os mais recentes ataques de engenharia social, como phishing e spearphishing. Elas também devem orientar seus funcionários a nunca abrir anexos de alguém que não conhecem e a sempre tratar e-mails de remetentes não reconhecidos ou não confiáveis com cautela.