Uma única violação numa empresa de tecnologia de marketing mostrou mais uma vez como a cadeia de abastecimento da web pode ser frágil. De acordo com a reportagem da PCMag, os atacantes comprometeram a Brevo, uma fornecedora de marketing online, e usaram esse acesso para lançar um ataque de malware ao estilo ClickFix em vários sites num só dia. O incidente é um exemplo claro de como um ataque de malware ClickFix não precisa de visar as vítimas diretamente. Pode entrar através de um serviço terceiro de confiança.

Como o Hack à Brevo Abriu a Porta

A Brevo fornece ferramentas de marketing que muitas empresas incorporam diretamente nos seus sites, coisas como formulários de inscrição por email, widgets de chat ou scripts de rastreamento. Quando um fornecedor como este é comprometido, os atacantes não ganham acesso apenas a um site. Ganham um ponto de apoio em todos os sites que integraram o código do fornecedor. Neste caso, a violação na Brevo criou um caminho para os atacantes injetarem um ataque ao estilo ClickFix numa vasta gama de sites simultaneamente, transformando um único ponto de falha num canal de distribuição massiva de malware.

É isto que torna as violações do lado do fornecedor tão perigosas do ponto de vista da privacidade e da segurança. Os proprietários dos sites frequentemente têm pouca visibilidade sobre as alterações feitas do lado do fornecedor, e os visitantes não têm forma de saber que um script a correr em segundo plano num site familiar se tornou subitamente malicioso.

O Que os Ataques ClickFix Realmente Fazem

O ClickFix é uma técnica de engenharia social que se tornou cada vez mais comum. Em vez de explorar uma vulnerabilidade técnica num navegador ou sistema operativo, baseia-se em enganar a pessoa sentada ao teclado. Normalmente, aparece um prompt falso numa página web, muitas vezes disfarçado de verificação CAPTCHA, mensagem de erro ou um passo necessário para corrigir um suposto problema com a página. O prompt instrui o visitante a copiar um pedaço de texto e colá-lo numa janela de comando ou caixa de execução no seu computador.

Esse texto colado é na verdade um comando malicioso. Uma vez executado, pode instalar malware sem que o utilizador alguma vez descarregue um ficheiro no sentido tradicional ou clique num link óbvio. Como o ataque se apoia na ação do utilizador em vez de numa falha de software, pode contornar muitas das defesas técnicas concebidas para detetar métodos convencionais de entrega de malware. É em parte por isso que o ClickFix se tornou uma tática preferida dos atacantes que procuram comprometer um grande número de dispositivos rapidamente.

Um Padrão Crescente de Comprometimento da Cadeia de Abastecimento

O incidente da Brevo encaixa num padrão mais amplo em que os atacantes vão atrás das ferramentas e plataformas das quais outras empresas dependem, em vez de atacarem diretamente os utilizadores finais ou mesmo empresas individuais. É uma dinâmica semelhante à que se desenrolou quando a ShinyHunters reivindicou um hack à Metabase, uma plataforma de análise de negócios usada por mais de 100.000 organizações, colocando um enorme número de utilizadores a jusante em risco potencial a partir de uma única violação. Também ecoa preocupações levantadas em torno de vulnerabilidades não corrigidas em plataformas amplamente usadas como o GeoServer, onde uma falha não tratada em infraestrutura partilhada pode ser explorada em muitas organizações ao mesmo tempo.

Estes incidentes partilham um fio condutor: quanto mais interligada a web se torna, com as empresas a dependerem de scripts, plugins e plataformas de terceiros, mais um único fornecedor comprometido pode propagar-se para fora numa vasta campanha de ataque.

O Que Isto Significa Para Si

Para os utilizadores comuns da internet, a conclusão a tirar deste ataque de malware ClickFix não é que qualquer site em particular não seja de confiança. É que mesmo sites legítimos e familiares podem ser temporariamente transformados em armas sem culpa própria, simplesmente porque um fornecedor em que confiam foi comprometido. A verdadeira defesa aqui resume-se a reconhecer o próprio padrão do ClickFix. Nenhum site legítimo alguma vez lhe pedirá para abrir uma linha de comandos ou caixa de execução e colar texto para "verificar" que é humano ou para "corrigir" um problema de visualização. Essa instrução, onde quer que apareça, deve ser tratada como um sinal de alerta de cada vez.

Conclusões Práticas

Se se deparar com um prompt a pedir-lhe para copiar e colar um comando no seu computador, feche a página imediatamente em vez de seguir as instruções. Mantenha o seu sistema operativo e navegador atualizados, uma vez que as correções podem por vezes reduzir o impacto dos scripts que conseguem passar. Considere usar extensões de navegador ou ferramentas de segurança que sinalizem comportamento suspeito de scripts nas páginas web que visita. E se gere um site que depende de ferramentas de marketing ou análise de terceiros, monitorize essas integrações de perto e esteja preparado para as desligar rapidamente se um fornecedor divulgar uma violação. Incidentes como o hack à Brevo são um lembrete de que a vigilância não deve parar à sua própria porta. Tem de se estender a todos os fornecedores e scripts que tocam nos sites que usa todos os dias.