Técnicas de ofuscação avançam em campanhas de engenharia social
Atores de ameaça estão aprimorando a metodologia ClickFix para ocultar cargas maliciosas até que a vítima execute a ação de confiança, dificultando a detecção nas fases iniciais da infecção. Pesquisas recentes de dois grandes fornecedores de segurança revelam que o vetor, já consolidado pela exploração da confiança do usuário em interfaces familiares, agora emprega registros DNS TXT e pré-busca de cache do navegador para mascarar o fluxo de execução.
O mecanismo clássico do ClickFix
A técnica baseia-se em apresentar um problema técnico falso ou um prompt de verificação, induzindo a vítima a colar e executar um comando — geralmente já copiado para a área de transferência — no Windows Run, PowerShell ou Terminal do macOS. Iscas comuns incluem CAPTCHAs falsos e páginas que simulam atualizações de videoconferência, explorando a tendência humana de resolver problemas aparentes rapidamente.
Campanha CrocoRat utiliza registros DNS TXT para encadear infecção
Pesquisadores da Flare identificaram uma campanha que distribui o CrocoRat, um trojan de acesso remoto (RAT) com capacidade de roubo de criptomoedas. A vítima acessa um domínio com erro de ortografia intencional exibindo uma imagem desfocada e um checkbox reCAPTCHA falsificado com logotipo da Cloudflare. Ao seguir a instrução “Abra o PowerShell e cole o texto”, o comando não baixa o payload diretamente. Em vez disso, consulta um registro TXT em um servidor DNS controlado pelo atacante, que retorna a próxima instrução PowerShell, iniciando a cadeia de download sem deixar rastros no comando original colado pela vítima.
Esse passo via DNS permite que a cadeia de infecção avance um estágio antes que as defesas tenham contexto suficiente para reconhecer o que está acontecendo, pois restam menos artefatos forenses para análise.
A Flare também encontrou um lançador Python não executado no pacote, indicando experimentação com estratégias condicionais. O script foi projetado para selecionar acesso remoto persistente em ambientes corporativos, enquanto implanta o RAT e ladrões de credenciais e criptoativos em sistemas pessoais, sugerindo que o operador prioriza uma posição silenciosa em alvos de alto valor.
Microsoft flagra pré-busca de payload disfarçado de imagem PNG
Um segundo exemplo, reportado pela Microsoft Threat Intelligence, envolve um cluster de sites comprometidos. Nessa variação, o site pré-busca um script malicioso para o cache do navegador disfarçado como um arquivo PNG antes mesmo de a vítima ser instruída a colar o código. Quando o comando malicioso é executado, o conteúdo já está no dispositivo, carregado e pronto para rodar, o que oculta o script e contorna o limite de caracteres da caixa de diálogo Executar.
Defesas e recomendações para mitigação
Ambos os redesenhos visam burlar a primeira linha de defesa, embora soluções de EDR ainda possam capturar estágios posteriores. A Microsoft destaca que o Defender protege elementos em toda a cadeia e recomenda proteção na web, rede, controle de aplicativos e log de blocos de script do PowerShell. A Flare reforça que o controle mais eficaz é reduzir a chance de um comando copiado ser executado, sugerindo treinamento específico sobre padrões ClickFix — como páginas de CAPTCHA falsas, atalhos Windows+R e prompts de “verificação falhada” — além de controles técnicos que restrinjam ou alertem sobre execução da área de transferência para o Run, fortaleçam logs do PowerShell e apliquem regras de controle de aplicativos que impeçam interpretadores de rodar em diretórios graváveis.
Com informações de: Dark Reading