Golpe usa falso teste de robô para invadir redes corporativas

A Microsoft emitiu, em 28 de agosto, um alerta global sobre uma nova campanha de ataques virtuais que usa falsos testes de verificação humana para invadir computadores corporativos. O método engana os funcionários com telas fraudulentas que imitam o teste da empresa Cloudflare e consegue criar um canal secreto de acesso direto às redes internas das organizações.

Segundo a equipe de pesquisa da big tech, os criminosos visam estabelecer uma ponte de controle remoto permanente nas máquinas das vítimas. Essa porta de entrada permite que invasores se movimentem em sigilo pela estrutura interna da empresa, roubem credenciais de administradores e preparem o terreno para o sequestro digital de dados (ransomware).

A abordagem é uma evolução de um golpe comum da engenharia social, conhecido pelo mercado de segurança como “ClickFix”. Em vez de explorar falhas automáticas nos sistemas operacionais, os fraudadores dependem de uma ação da vítima. O usuário acessa uma página comprometida na internet e se depara com uma janela que exige a confirmação de que ele não é um robô.

Ao clicar no botão de confirmação, a página finge carregar a checagem, mas copia de maneira oculta uma linha de comando maliciosa para a área de transferência do computador. O site exibe, em seguida, instruções que pedem ao funcionário que abra o terminal de comandos do Windows e cole o texto copiado para concluir a verificação.

De acordo com o relatório assinado pelos pesquisadores Sagar Patil, Suriyaraj Natarajan e Parasharan Raghavan, a manobra foi pensada justamente para contornar bloqueios comuns de segurança:

“Diferentemente de variantes anteriores do ClickFix, que normalmente entregavam um único ladrão de senhas, esta campanha do TerminalFix implanta uma cadeia de ataque sofisticada de múltiplos estágios que combina o carregamento lateral de arquivos, extração de código escondido em imagens, reconhecimento detalhado de diretórios internos e um implante customizado de túnel reverso, o que garante ao invasor um acesso persistente em nível de rede pelo computador invadido”, escreveram.

Para não levantar suspeitas imediatas, o comando colado na tela limpa a janela preta e exibe avisos falsos com letras verdes e azuis, com a frase “Eu não sou um robô”, o que imita um processo oficial de validação. Enquanto a mensagem amigável fica visível, o sistema inicia em segundo plano o download de arquivos compactados.

Entre esses arquivos está um programa legítimo e assinado pelo Windows, que é ativado pelos criminosos junto a um arquivo corrompido. O sistema prioriza a execução dos arquivos daquela pasta e acaba rodando o código malicioso sem emitir alertas comuns de perigo.

O esquema também se destaca pelo uso da esteganografia, técnica que esconde códigos e instruções dentro de arquivos comuns de imagem, pontuaram os analistas. O vírus baixa três figuras em formato PNG de servidores remotos. Embora os arquivos pareçam imagens comuns, o código oculto nos pixels é lido pelo malware para reconstruir módulos espiões dentro do disco rígido.

Com o sistema infectado, o programa garante que continuará ativo mesmo após reinicializações, com tarefas agendadas para rodar a cada 60 minutos. A partir desse movimento, inicia-se uma varredura minuciosa por bancos de dados, servidores de backup, credenciais de contas corporativas e computadores de alta prioridade.

O estágio final instala um túnel que estabelece uma conexão contínua entre a máquina da empresa e o servidor dos criminosos. A conexão simula o tráfego comum de navegação na web por meio de criptografia, o que dificulta a detecção por firewalls corporativos. Como o invasor opera a partir de dentro da rede corporativa, ele consegue alcançar qualquer servidor acessível por aquele computador.

A Microsoft destacou que não observou ações diretas de operadores humanos durante a coleta dos dados técnicos, mas ressaltou o perigo latente da invasão:

“Organizações devem tratar os dispositivos afetados como potenciais pontos de apoio na rede e investigar a ocorrência de movimentação lateral e exposição de credenciais. Na fase de operação manual que tipicamente se segue, atacantes usam esse acesso para elevar privilégios, desativar controles de segurança, extrair dados confidenciais e implantar ransomware em toda a empresa”, ressaltou a companhia.

Para conter incidentes do tipo, a empresa recomenda que equipes de suporte técnico e segurança restrinjam a permissão de usuários comuns para executar linhas de comando no Windows. Os pesquisadores orientam ainda o treinamento preventivo de equipes contra instruções de sites que peçam atalhos do teclado e a redefinição imediata de senhas administrativas caso algum dispositivo da rede apresente sinais da infecção.

Por falar em segurança no universo digital, Google anuncia Android 17 com blindagem contra espionagem de operadoras. Siga o TecMundo no X, Instagram, Facebook e YouTube e assine a nossa newsletter para receber as principais notícias e análises diretamente no seu e-mail.