Golpe usa falso teste de robô para invadir redes corporativas

A Microsoft emitiu, em 28 de agosto, um alerta global sobre uma nova campanha de ataques virtuais que usa falsos testes de verificação humana para invadir computadores corporativos.

O método engana os funcionários com telas fraudulentas que imitam o teste da empresa Cloudflare e consegue criar um canal secreto de acesso direto às redes internas das organizações.

Segundo a equipe de pesquisa da big tech, o s criminosos visam estabelecer uma ponte de controle remoto permanente nas máquinas das vítimas.

Essa porta de entrada permite que invasores se movimentem em sigilo pela estrutura interna da empresa, roubem credenciais de administradores e preparem o terreno para o sequestro digital de dados (ransomware).

A abordagem é uma evolução de um golpe comum da engenharia social, conhecido pelo mercado de segurança como "ClickFix".

Em vez de explorar falhas automáticas nos sistemas operacionais, os fraudadores dependem de uma ação da vítima.

O usuário acessa uma página comprometida na internet e se depara com uma janela que exige a confirmação de que ele não é um robô.

Ao clicar no botão de confirmação, a página finge carregar a checagem, mas copia de maneira oculta uma linha de comando maliciosa para a área de transferência do computador.

O site exibe, em seguida, instruções que pedem ao funcionário que abra o terminal de comandos do Windows e cole o texto copiado para concluir a verificação.

De acordo com o relatório assinado pelos pesquisadores Sagar Patil, Suriyaraj Natarajan e Parasharan Raghavan, a manobra foi pensada justamente para contornar bloqueios comuns de segurança: Visão geral da cadeia de ataque do TerminalFix (Reprodução/Microsoft) “Diferentemente de variantes anteriores do ClickFix , que normalmente entregavam um único ladrão de senhas, esta campanha do TerminalFix implanta uma cadeia de ataque sofisticada de múltiplos estágios que combina o carregamento lateral de arquivos, extração de código escondido em imagens, reconhecimento detalhado de diretórios internos e um implante customizado de túnel reverso, o que garante ao invasor um acesso persistente em nível de rede pelo computador invadido”, escreveram.

Para não levantar suspeitas imediatas, o comando colado na tela limpa a janela preta e exibe avisos falsos com letras verdes e azuis, com a frase "Eu não sou um robô", o que imita um processo oficial de validação.

Enquanto a mensagem amigável fica visível, o sistema inicia em segundo plano o download de arquivos compactados.

Entre esses arquivos está um programa legítimo e assinado pelo Windows , que é ativado pelos criminosos junto a um arquivo corrompido.

O sistema prioriza a execução dos arquivos daquela pasta e acaba rodando o código malicioso sem emitir alertas comuns de perigo.