A Microsoft divulgou, em 28 de agosto, um alerta global sobre uma campanha recém-identificada de ataques cibernéticos que utiliza falsos testes de verificação humana para comprometer computadores corporativos. A técnica engana funcionários com telas fraudulentas que imitam o teste da empresa Cloudflare e permite a criação de um canal oculto de acesso direto às redes internas das organizações.
Segundo a equipe de pesquisa da big tech, os criminosos visam estabelecer uma ponte de controle remoto permanente nas máquinas das vítimas. Essa entrada dá aos invasores a capacidade de se moverem discretamente pela infraestrutura da empresa, furtarem credenciais de administradores e prepararem o ambiente para ataques de sequestro de dados (ransomware).
smart_display
Nossos vídeos em destaque
A abordagem é uma evolução de um golpe comum da engenharia social, conhecido pelo mercado de segurança como “ClickFix”. Em vez de explorar falhas técnicas nos sistemas operacionais, os criminosos dependem da ação do usuário. A vítima acessa uma página comprometida e se depara com uma janela que solicita a confirmação de que não é um robô.
Ao clicar no botão de confirmação, a página simula a verificação, mas copia silenciosamente um comando malicioso para a área de transferência do computador. Em seguida, o site mostra instruções pedindo que o funcionário abra o terminal de comandos do Windows e cole o texto para concluir a checagem.
De acordo com o relatório assinado pelos pesquisadores Sagar Patil, Suriyaraj Natarajan e Parasharan Raghavan, a manobra foi planejada justamente para contornar controles de segurança comuns:
“Ao contrário de variantes anteriores do ClickFix, que costumavam distribuir apenas um ladrão de senhas, esta campanha do TerminalFix implanta uma cadeia de ataque multietapa sofisticada que combina carregamento lateral de arquivos, extração de código oculto em imagens, mapeamento detalhado de diretórios internos e um implante personalizado de túnel reverso, garantindo ao invasor acesso persistente em nível de rede pelo computador comprometido”, escreveram os pesquisadores.
Para evitar levantar suspeitas imediatas, o comando colado limpa a janela preta e mostra avisos falsos em letras verdes e azuis com a frase “Eu não sou um robô”, simulando um processo legítimo de validação. Enquanto essa mensagem fica visível, o sistema começa em segundo plano a baixar arquivos compactados.
Entre esses arquivos há um executável legítimo assinado pelo Windows, acionado pelos invasores junto de um arquivo corrompido. O sistema prioriza a execução dos arquivos daquela pasta e acaba rodando o código malicioso sem gerar os alertas habituais.
O esquema também se destaca pelo uso da esteganografia, técnica que oculta códigos e instruções dentro de imagens, apontaram os analistas. O malware baixa três imagens em PNG a partir de servidores remotos. Embora pareçam figuras comuns, o código escondido nos pixels é lido para reconstruir módulos espiões no disco rígido.
Com o sistema infectado, o agente garante persistência mesmo após reinicializações, com tarefas agendadas para executar a cada 60 minutos. A partir daí, começa-se uma varredura aprofundada por bancos de dados, servidores de backup, credenciais corporativas e máquinas de alto valor.
Na etapa final, é instalado um túnel que estabelece uma conexão contínua entre o dispositivo da empresa e o servidor dos criminosos. O tráfego é mascarado como navegação web comum e criptografado, dificultando a detecção por firewalls corporativos. Operando de dentro da rede, o invasor pode acessar qualquer servidor alcançável pelo computador comprometido.
A Microsoft informou não ter observado operadores humanos atuando diretamente durante a coleta dos dados técnicos, mas alertou para o risco da intrusão:
“Organizações devem tratar dispositivos afetados como potenciais pontos de apoio na rede e investigar movimentos laterais e exposição de credenciais. Na fase de operação manual que normalmente segue, atacantes usam esse acesso para elevar privilégios, desativar controles de segurança, extrair dados sensíveis e implantar ransomware na empresa”, destacou a companhia.
Para mitigar incidentes desse tipo, a empresa recomenda que equipes de suporte e segurança restrinjam a permissão de usuários comuns para executar comandos no Windows. Os pesquisadores também sugerem treinar as equipes para não seguirem instruções de sites que peçam atalhos de teclado e redefinir imediatamente senhas administrativas caso algum dispositivo da rede apresente sinais de infecção.
Falando em segurança digital, o Google anunciou o Android 17 com proteções contra espionagem por operadoras. Siga o TecMundo no X, Instagram, Facebook e YouTube e assine a nossa newsletter para receber as principais notícias e análises diretamente no seu e-mail.
