Uma nova campanha ClickFix mostra como uma única ação de copiar e colar pode abrir uma porta para um dispositivo e a rede ao seu redor. De acordo com reportagem do GBHackers, a campanha usa um componente chamado Lorem Ipsum Loader para instalar um implante de tunelamento baseado em Python, dando aos atacantes uma rota encoberta para as vítimas. Esta cadeia de implante de tunelamento do ataque ClickFix é um lembrete útil de que alguns dos ataques mais eficazes não exploram falhas de software. Eles dependem de persuadir uma pessoa a executar o código por conta própria.
O relatório fonte é breve, então este artigo se atém ao que foi confirmado: o método de entrega, o loader e o tipo de implante envolvido. Onde os detalhes não estão disponíveis, nós o dizemos.
Como o ClickFix engana as pessoas para que se infectem
ClickFix é uma técnica de engenharia social. Em vez de entregar malware através de um download óbvio, o atacante mostra à vítima um prompt que parece uma correção rotineira para um problema. O usuário é instruído a copiar um comando e colá-lo em uma janela do sistema, como a caixa de diálogo Executar do Windows ou um terminal. Como o usuário realiza a ação, a etapa pode contornar proteções projetadas para detectar downloads ou anexos suspeitos.
O ângulo que torna essa abordagem eficaz é a simplicidade. Não há nenhum instalador estranho para questionar. A pessoa está apenas seguindo o que parece ser uma instrução de solução de problemas. Nesta campanha, esse comando colado é o que inicia a cadeia de infecção que leva ao Lorem Ipsum Loader.
O que o Lorem Ipsum Loader e o implante de tunelamento fazem
Um loader é um pequeno programa cujo trabalho principal é trazer outra coisa. Aqui, o Lorem Ipsum Loader instala um implante de tunelamento baseado em Python. Um implante é um pedaço de software deixado em execução em uma máquina comprometida para que os atacantes possam manter o acesso ao longo do tempo.
Tunelamento significa criar um canal que transporta tráfego entre o dispositivo infectado e um sistema controlado pelo atacante. Em termos práticos, isso pode dar ao atacante um caminho encoberto para a máquina da vítima e, potencialmente, uma maneira de alcançar outros recursos que o dispositivo pode ver. O relatório descreve o resultado como uma rota encoberta para as vítimas, que é o risco central: a atividade do atacante pode se misturar com as conexões normais do dispositivo.
A fonte não fornece mais detalhes técnicos, como o número de vítimas, a infraestrutura por trás da campanha ou quem é o responsável, então não vamos especular sobre esses pontos.
Por que um implante de tunelamento importa para sua privacidade
Um implante de tunelamento é preocupante por causa do que ele pode se posicionar entre. Um dispositivo em uma rede doméstica ou de escritório pode ter acesso a arquivos pessoais, sessões salvas, ferramentas internas, unidades compartilhadas e outros dispositivos conectados. Se um atacante tiver um canal oculto para essa máquina, o dispositivo pode se tornar um trampolim em vez de apenas um único ponto de comprometimento.
É por isso que um erro de copiar e colar pode ter efeitos além de um único laptop. Acesso desse tipo pode minar a privacidade de tudo que o dispositivo toca. Para trabalhadores, também pode aumentar o risco para sistemas do empregador acessíveis a partir de uma configuração doméstica ou remota.
Este é um padrão semelhante a outros casos em que ferramentas web comuns são usadas contra os usuários. Por exemplo, recentemente cobrimos como extensões maliciosas do Chrome foram flagradas roubando dados de criptomoedas, outro caso em que algo que parece rotineiro se torna a forma de entrada.
O que isso significa para você
O ponto principal é que você é o alvo do truque, não apenas o seu software. Um computador totalmente atualizado ainda pode ser comprometido se você for persuadido a executar um comando malicioso. Qualquer pessoa que use um computador e encontre páginas web, pop-ups ou prompts falsos de verificação e erro pode estar exposta a esse tipo de isca.
A boa notícia é que a defesa é simples e está sob seu controle. O ataque depende de uma ação, e recusar-se a tomá-la quebra a cadeia.
Sinais de alerta e como se proteger
Fique atento a esses sinais de alerta:
- Uma página web pede que você copie um texto e cole na caixa de diálogo Executar, no Terminal ou no PowerShell para "corrigir" um problema ou "verificar" que você é humano.
- Instruções dizem para você pressionar atalhos de teclado que abrem uma janela de comando do sistema.
- Um prompt cria urgência, alegando que algo vai quebrar ou ser bloqueado a menos que você aja imediatamente.
- Você vê processos Python inexplicáveis ou atividade em segundo plano desconhecida após seguir qualquer instrução desse tipo.
Se você acha que executou um comando suspeito, desconecte o dispositivo da rede, execute uma varredura completa com proteção de endpoint confiável e altere senhas importantes de um dispositivo diferente e limpo. Se a máquina for usada para trabalho, avise sua equipe de TI ou segurança prontamente.
Principais conclusões
A campanha de implante de tunelamento do ataque ClickFix é um lembrete de que uma única colagem pode desfazer muitos bons hábitos de segurança. Para reduzir seu risco:
- Nunca cole comandos de um prompt da web em um terminal ou caixa de diálogo Executar, a menos que você os entenda completamente e confie na fonte.
- Mantenha seu sistema operacional e software atualizados, e use proteção de endpoint que possa sinalizar comportamento suspeito.
- Trate prompts urgentes de "correção" e "verificação" com suspeita, e feche a página.
- Mantenha a higiene de rede em perspectiva. Uma VPN pode ser uma camada útil para proteger seu tráfego, mas não impede malware que você executa em seu próprio dispositivo.
Para outro exemplo de ferramentas web cotidianas sendo abusadas, leia nosso relatório sobre extensões maliciosas de navegador roubando dados de criptomoedas, e mantenha-se cético em relação a qualquer prompt que peça que você faça o trabalho do atacante por ele.
