Pesquisadores descobriram outro método usado no espírito do ClickFix: o CrashFix.
As campanhas ClickFix usam iscas convincentes — historicamente telas de "Verificação Humana" — para enganar o usuário e fazê-lo colar um comando da área de transferência. Depois de telas falsas de atualização Windows , tutoriais em vídeo para usuários Mac e muitas outras variantes, os atacantes agora introduziram uma extensão de navegador que trava o navegador propositalmente.
Pesquisadores encontraram uma versão pirata de um bloqueador de anúncios bastante conhecido e conseguiram inseri-la no site oficial. Chrome Loja virtual com o nome “NexShield – Advanced Proteção da Web." Tecnicamente falando, travar o navegador oferece algum nível de proteção, mas não é o que os usuários normalmente procuram.
Se os usuários instalarem a extensão do navegador, ela se comunica com o servidor nexsnield[.]com (observe o erro ortográfico) para rastrear instalações, atualizações e desinstalações. A extensão usa Chrome A API de alarmes integrada do programa aguarda 60 minutos antes de iniciar seu comportamento malicioso. Esse atraso torna menos provável que os usuários associem imediatamente a instalação à falha subsequente.
Após essa pausa, a extensão inicia um loop de negação de serviço que abre repetidamente conexões da porta chrome.runtime, esgotando os recursos do dispositivo até que o navegador deixe de responder e trave.
Após reiniciar o navegador, os usuários veem uma janela pop-up informando que o navegador parou de forma anormal — o que é verdade, mas não inesperado — e oferecendo instruções sobre como evitar que isso aconteça no futuro.
Apresenta ao usuário as instruções já clássicas para abrir Win+R, pressione Ctrl+V, e pressione Enter para “corrigir” o problema. Esse é o comportamento típico do ClickFix. A extensão já colocou um comando PowerShell ou cmd malicioso na área de transferência. Seguindo as instruções, o usuário executa esse comando malicioso e efetivamente infecta seu próprio computador.
Com base em verificações de impressão digital para verificar se o dispositivo está associado ao domínio, existem atualmente dois resultados possíveis.
Se a máquina estiver conectada a um domínio, ela será tratada como um dispositivo corporativo e infectada com um trojan de acesso remoto (RAT) Python chamado ModeloRAT. Em máquinas não conectadas a um domínio, a carga útil é atualmente desconhecida, pois os pesquisadores receberam apenas uma resposta “TEST PAYLOAD!!!!”. Isso pode significar que o desenvolvimento ainda está em andamento ou que outras impressões digitais tornaram a máquina de teste inadequada.
Como se manter seguro
A extensão não estava mais disponível no Chrome No momento em que este texto foi escrito, a Web Store ainda não existia, mas sem dúvida ressurgirá com outro nome. Portanto, aqui estão algumas dicas para se manter seguro:
- Se você estiver procurando um bloqueador de anúncios ou outras extensões úteis para o navegador, certifique-se de instalar o produto original. Os cibercriminosos adoram se passar por softwares confiáveis.
- Nunca execute códigos ou comandos copiados de sites, e-mails ou mensagens, a menos que confie na fonte e compreenda o objetivo da ação. Verifique as instruções de forma independente. Se um site solicitar que você execute um comando ou realize uma ação técnica, verifique a documentação oficial ou entre em contato com o suporte antes de prosseguir.
- Proteja seus dispositivos. Use uma solução antimalware em tempo real atualizada com um componente de proteção da web.
- Informe-se sobre as técnicas de ataque em constante evolução. Compreender que os ataques podem vir de vetores inesperados e evoluir ajuda a manter a vigilância. Continue lendo nosso blog!
Dica profissional: a extensão gratuita Malwarebytes Browser Guard é um bloqueador de anúncios muito eficaz e protege você de sites maliciosos. Ela também avisa quando um site copia algo para a sua área de transferência e adiciona um pequeno trecho de código para tornar quaisquer comandos inúteis.
Desde a denúncia de ameaças até a sua remoção.
Os riscos de cibersegurança nunca devem ir além das manchetes. Mantenha as ameaças longe dos seus dispositivos baixando Malwarebytes hoje mesmo .
