O ecossistema de cibersegurança está novamente agitado por causa de uma ameaça que, à primeira vista, parece quase ingénua. O ClickFix, uma nova variante de malware que começou a circular de forma mais intensa nas últimas semanas, está a explorar o truque mais antigo da internet. Enganar utilizadores que acreditam estar a instalar uma atualização legítima do Windows. O ataque é simples, mas engenhoso. E, segundo investigadores da Huntress, suficientemente convincente para colocar qualquer pessoa em perigo num instante.
AGeekGPT
Eu já li. Tu só tens de perguntar.
Neste artigo vão encontrar:
Um ecrã falso de atualização que parece verdadeiro demais
O ataque começa sempre da mesma forma. O utilizador entra num website duvidoso, geralmente associado a páginas de streaming de baixo risco percebido, mas cheias de pop-ups e anúncios suspeitos. Basta um clique num banner carregado ao acaso ou numa verificação de idade falsa e o navegador transforma-se abruptamente num suposto ecrã de atualização do Windows. A interface ocupa o ecrã inteiro, mostra barras de progresso, percentagens e avisos familiares. Tudo parece legítimo, exceto por um detalhe. A atualização nunca ultrapassa os 95%.
É neste momento que o esquema revela a sua armadilha. A falsa atualização indica que é necessário pressionar a combinação Windows + R e colar um determinado comando para concluir o processo. Para quem não está habituado às camadas internas do sistema operativo, este pedido parece plausível. Mas é precisamente neste passo que o malware entra em ação.
O comando que ativa a infeção silenciosa
O comando solicitado não tem qualquer função legítima. Ele aciona o mshta, uma ferramenta interna do Windows usada para executar scripts HTML. Os atacantes utilizam-na para descarregar, de forma discreta, um payload proveniente de um servidor remoto. A operação é praticamente invisível para o utilizador.
Para dificultar a vida aos sistemas de segurança e analistas forenses, os criadores do ClickFix incluíram no código uma série de linhas inúteis, ruído artificial que apenas serve para confundir. Num detalhe especialmente curioso, parte do código malicioso está escondida dentro de uma imagem PNG. O malware extrai conteúdo binário diretamente dos pixéis, converte-o em shellcode e injeta-o em processos legítimos através de .NET. Um método que demonstra um nível de sofisticação pouco comum em campanhas deste tipo.
Depois da porta aberta, vem o verdadeiro ataque
A primeira fase do ClickFix não é destrutiva. O seu único objetivo é permitir que o atacante instale malware adicional no sistema sem levantar suspeitas. Assim que a porta está aberta, entram em cena ferramentas bem mais perigosas. O Rhadamanthys e o LummaC2, dois dos infostealers mais ativos da atualidade.
Estes programas especializam-se em recolher tudo o que encontram de valor no dispositivo comprometido. Palavras-passe de websites, cookies de sessão, tokens de autenticação, credenciais de bancos, acessos a carteiras de criptomoedas. Num cenário extremo, podem até capturar informações corporativas, comprometer contas de email e roubar dados de aplicações e serviços críticos.
Os investigadores revelam que esta campanha está ativa, pelo menos, desde o início de outubro e continua a crescer. São usados domínios temporários que imitam páginas de suporte da Microsoft e são renovados assim que começam a ser bloqueados. O código está repleto de referências nonsens, incluindo trechos aparentemente retirados de discursos históricos, usados apenas para atrasar quem tentar analisá-lo.
Como se proteger de um ataque tão simples e tão eficaz
O ClickFix funciona porque joga com a confiança do utilizador e com o reflexo automático de seguir instruções que parecem vir de uma fonte credível. No entanto, há uma regra básica que evita a infeção de forma absoluta. As atualizações do Windows nunca pedem para abrir a caixa de Execução, nunca solicitam comandos manuais e nunca são iniciadas a partir de um site.
Se uma página exigir que pressione combinações de teclas ou copie comandos externos, algo está errado. A melhor resposta é fechar imediatamente o navegador, apagar o histórico, limpar a cache e evitar regressar ao website em questão. Caso o utilizador tenha caído no esquema, deve assumir que o dispositivo pode estar comprometido e agir rapidamente com ferramentas de segurança e análise profissional.
O ClickFix mostra que nem sempre são precisos ataques avançados ou vulnerabilidades zero-day para comprometer um sistema. Às vezes, basta uma interface bem desenhada, um comando inocente e a confiança de quem acredita estar a atualizar o seu computador de forma legítima.
Leiam as últimas notícias do mundo da tecnologia no Google News , Facebook e X (ex Twitter) .
 Todos os dias vos trazemos dezenas de notícias sobre o mundo Android em Português. Sigam-nos no Google Notícias. Obrigado! |
