A Microsoft alertou sobre ataques ClickFix que usam contratos inteligentes da BNB Chain para infectar milhares de dispositivos todos os dias.
Resumo
- A Microsoft disse que ataques ClickFix estão usando contratos inteligentes da BNB Chain para entregar instruções de malware.
- Páginas falsas de CAPTCHA enganam os usuários para executar comandos fornecidos pelo atacante em dispositivos Windows.
- A campanha visa milhares de dispositivos empresariais e de consumidores em todo o mundo todos os dias.
- A Microsoft alertou que ataques bem-sucedidos podem expor credenciais e levar à implantação de ransomware.
De acordo com a Microsoft Threat Intelligence, um cluster de sites comprometidos tem usado iscas ClickFix juntamente com a técnica EtherHiding para entregar malware, com campanhas visando milhares de dispositivos empresariais e de consumidores em todo o mundo diariamente.
A equipe de segurança disse que os atacantes injetam JavaScript codificado em Base64 em sites comprometidos. Em vez de recuperar instruções de payload de um servidor tradicional, o script se conecta a um gateway RPC da BNB Smart Chain e consulta um contrato inteligente anteriormente vinculado à campanha ClearFake.
Como apenas o proprietário da carteira de criptomoeda que implantou o contrato pode modificar seu conteúdo, as instruções permanecem difíceis de remover usando métodos convencionais de derrubada ou sinkholing.
A Microsoft disse que as vítimas veem um CAPTCHA falso pedindo para verificar se são humanas. Em vez de completar uma etapa de verificação normal, os usuários são instruídos a abrir a caixa de diálogo Executar do Windows, colar o conteúdo da área de transferência e pressionar Enter, executando um comando controlado pelo atacante em seus próprios sistemas.
Campanha ClickFix usou blockchain para entregar instruções de ataque
Embora o CAPTCHA falso atue como isca, o relatório disse que os atacantes dependem de vários métodos de ofuscação de comandos para evitar detecção após a execução. A Microsoft observou o abuso de ferramentas do Windows, incluindo conhost, cmd, PowerShell, pcalua, mshta, rundll32, msiexec, curl, WMI, WebDAV e tarefas agendadas.
Os pesquisadores também identificaram várias técnicas projetadas para ocultar comandos maliciosos. Caracteres de acento circunflexo dividem palavras-chave, variáveis de ambiente ocultam interpretadores, e processos do Windows são executados em modo minimizado ou headless para reduzir a visibilidade durante a execução.
Junto com o ClickFix, a Microsoft disse que os atacantes também estão implantando iscas TerminalFix. Em vez de direcionar as vítimas para a caixa de diálogo Executar do Windows, o TerminalFix instrui os usuários a colar comandos no Windows Terminal ou PowerShell, usando o mesmo método de engenharia social para acionar o ataque.
O relatório descreveu ClickFix e TerminalFix como técnicas de acesso inicial de alto volume. A Microsoft disse que está rastreando campanhas que visam milhares de dispositivos empresariais e de consumidores globalmente todos os dias, enquanto algumas cadeias de malvertising também redirecionam usuários para páginas de golpe antes que as instruções maliciosas sejam entregues.
Malware pode levar a roubo de credenciais e ataques de ransomware
De acordo com o relatório, vários atores de ameaças adotaram a técnica para distribuir várias famílias de malware após obter acesso inicial. A Microsoft identificou Lumma Stealer e outros ladrões de informações, Xworm e AsyncRAT trojans de acesso remoto, MintsLoader e ferramentas de gerenciamento remoto entre os payloads entregues por meio de campanhas ClickFix.
Os pesquisadores alertaram que uma única execução bem-sucedida pode expor credenciais, estabelecer persistência em sistemas infectados, permitir movimento lateral através de redes e criar um caminho para ataques de ransomware operados por humanos e possível comprometimento de domínio.
Para reduzir o risco, a Microsoft recomendou habilitar a proteção de rede, web e entregue pela nuvem do Microsoft Defender, restringir o acesso à caixa de diálogo Executar do Windows e outras ferramentas de linha de comando onde não forem necessárias, habilitar o registro de blocos de script do PowerShell e impor políticas de controle de aplicativos.
A empresa também aconselhou os usuários a não colar comandos de CAPTCHAs falsos, páginas de erro do navegador, anúncios, páginas de suporte não solicitadas ou e-mails no Executar do Windows, Terminal, PowerShell ou Prompt de Comando, porque os atacantes dependem cada vez mais de convencer os usuários a executar comandos maliciosos eles mesmos.
Detecções do Defender visam atividade ClickFix
A Microsoft disse que o Microsoft Defender XDR fornece proteção em camadas em diferentes estágios da cadeia de ataque. De acordo com a empresa, o Defender SmartScreen e o Defender para Office 365 podem ajudar a bloquear sites maliciosos, links de phishing, anexos infectados e páginas CAPTCHA falsas antes que os usuários interajam com eles.
A plataforma de segurança também detecta execução suspeita de comandos e conexões de saída usando alertas, incluindo "Comando suspeito no registro RunMRU", "Possível atividade ClickFix" e "Possível acesso inicial de uma ameaça emergente".
Enquanto isso, o Microsoft Defender Antivírus identifica execução maliciosa de comandos sob detecções como Trojan:Win32/ClickFix.* e Trojan:Win32/TermFix.*. A empresa disse que as organizações devem tratar essas detecções como possíveis indicadores de um incidente de acesso inicial, isolar dispositivos afetados, investigar possíveis roubos de credenciais e mecanismos de persistência, e procurar atividades relacionadas em seus ambientes.
Aviso anterior da Microsoft destacou malware focado em criptomoedas
As descobertas mais recentes seguem outro relatório de Inteligência de Ameaças da Microsoft publicado em junho que descreveu uma campanha de clipper CryptoBandits baseada em Windows ativa desde fevereiro de 2026.
De acordo com o relatório, o malware se espalhou por meio de arquivos de atalho .lnk maliciosos, monitorava a área de transferência a cada 500 milissegundos em busca de endereços de carteira de criptomoedas, frases-semente e chaves privadas, e substituía endereços de carteira copiados por aqueles controlados pelo atacante.
Os pesquisadores também descobriram que o malware roteava comunicações pela rede Tor, criava tarefas agendadas para persistência, capturava capturas de tela e executava código fornecido pelo atacante, efetivamente dando aos operadores acesso de backdoor leve.
A Microsoft disse na época que os defensores deveriam investigar combinações de comportamento suspeito em vez de eventos isolados, especialmente quando mecanismos de script lançavam ferramentas como curl, cmd.exe ou PowerShell junto com tráfego relacionado ao Tor.
O aviso anterior veio enquanto campanhas de malware relacionadas a criptomoedas continuavam a evoluir. Como relatado anteriormente pelo crypto.news, o StilachiRAT tinha como alvo carteiras de criptomoedas baseadas em navegador e monitorava a atividade da área de transferência, enquanto o SparkCat procurava em capturas de tela por frases-semente de carteira usando varredura de imagem. A Binance também alertou os usuários sobre malware clipper projetado para substituir endereços de carteira de criptomoedas copiados por alternativas controladas pelo atacante.
