"Precisa de ajuda?" Novo malware tem até vídeo tutorial para te guiar no golpe

Ataques do malware ClickFix agora evoluíram para incluir vídeos que guiam o usuário no processo de infecção, até mesmo com um contador para forçar ação rápida e detecção do sistema operacional (SO) da vítima para trazer os comandos maliciosos certos.

A infecção ClickFix geralmente depende de engenharia social, prometendo soluções para problemas no computador ou falsas verificações de identidade, mas que entregam um código malicioso que, quando executado, instala malwares, geralmente infostealers (ladrões de informação).

Pesquisadores da Push Security notaram uma mudança na campanha do malware, mais especificamente em uma página falsa de verificação de CAPTCHA na Cloudflare. O agente malicioso foi capaz de identificar o SO do usuário e providenciar um tutorial por vídeo ensinando como e onde copiar e colar os comandos fraudulentos.

Através de JavaScript, os hackers também conseguiram esconder os comandos e os copiarem automaticamente para a Área de Transferência da vítima, reduzindo as chances de erro humano. A mesma tela mostrou uma contagem regressiva de um minuto, que pressiona o usuário a agir rapidamente, dando pouco tempo para verificar a autenticidade do processo.

A tela também mostrou um falso contador de “usuários verificados na última hora”, conferindo mais credibilidade à ferramenta hacker. O surgimento de versões do ClickFix para sistemas como Linux ou macOS não é novidade, mas a capacidade de identificar e providenciar códigos específicos na entrega do malware é. Páginas mais avançadas da iniciativa, como a da pesquisa, geralmente são propagadas por malvertising em pesquisas Google.

Em geral, são exploradas falhas conhecidas como plugins desatualizados do WordPress para comprometer sites legítimos e incluir código malicioso, ou são invadidos sites criados por vibe coding, usando táticas de envenenamento de SEO posteriormente para ranquear bem os locais maliciosos nas pesquisas.

Além de detectar o SO usado, os malwares sempre incluem o executável MSHTA no Windows, scripts PowerShell e outros binários living-off-the-land. Segundo especialistas, o ataque ClickFix provavelmente evoluirá para funcionar totalmente no navegador, escapando até mesmo de proteções antivírus EDR, que checam o funcionamento dos programas, não só os arquivos estáticos.

Fonte: Canal Tech.