Os investigadores descobriram outro método utilizado no espírito do ClickFix: o CrashFix.
As campanhas ClickFix utilizam iscos convincentes — historicamente ecrãs de "Verificação Humana" — para enganar o utilizador e fazê-lo colar um comando da área de transferência. Depois de ecrãs falsos de atualização Windows , tutoriais em vídeo para utilizadores Mac e muitas outras variantes, os atacantes introduziram agora uma extensão de navegador que bloqueia o navegador propositadamente.
Os investigadores encontraram uma versão pirata de um bloqueador de anúncios bastante conhecido e conseguiram inseri-la no site oficial. Chrome Loja virtual com o nome “NexShield – Advanced Proteção Web." Tecnicamente falando, bloquear o browser oferece algum nível de proteção, mas não é o que os utilizadores normalmente procuram.
Se os utilizadores instalarem a extensão do navegador, ela liga para casa para nexsnield[.]com (note o erro ortográfico) para rastrear instalações, atualizações e desinstalações. A extensão utiliza Chrome A API de alarmes integrada do programa aguarda 60 minutos antes de iniciar o seu comportamento malicioso. Este atraso torna menos provável que os utilizadores associem imediatamente a instalação à falha subsequente.
Após essa pausa, a extensão inicia um ciclo de negação de serviço que abre repetidamente as ligações da porta chrome.runtime, esgotando os recursos do dispositivo até que o navegador deixe de responder e trave.
Após reiniciar o navegador, os utilizadores veem uma janela pop-up informando que o navegador parou de forma anormal — o que é verdade, mas não inesperado — e oferecendo instruções sobre como evitar que isso aconteça no futuro.
Apresenta ao utilizador as instruções agora clássicas para abrir Win+R, pressione Ctrl+V, e pressione Enter para «corrigir» o problema. Esse é o comportamento típico do ClickFix. A extensão já colocou um comando PowerShell ou cmd malicioso na área de transferência. Ao seguir as instruções, o utilizador executa esse comando malicioso e efetivamente infecta o seu próprio computador.
Com base nas verificações de impressão digital para verificar se o dispositivo está ligado ao domínio, existem atualmente dois resultados possíveis.
Se a máquina estiver ligada a um domínio, ela é tratada como um dispositivo corporativo e infectada com um trojan de acesso remoto (RAT) Python chamado ModeloRAT. Em máquinas não ligadas a um domínio, a carga útil é atualmente desconhecida, pois os investigadores receberam apenas uma resposta “TEST PAYLOAD!!!!”. Isso pode implicar um desenvolvimento contínuo ou outra identificação que tornou a máquina de teste inadequada.
Como se manter seguro
A extensão já não estava disponível no Chrome À data em que este texto foi escrito, a Web Store ainda não existia, mas irá, sem dúvida, ressurgir com outro nome. Por isso, aqui estão algumas dicas para se manter seguro:
- Se estiver à procura de um bloqueador de anúncios ou outras extensões úteis para o navegador, certifique-se de que está a instalar o produto original. Os cibercriminosos adoram se passar por softwares confiáveis.
- Nunca execute códigos ou comandos copiados de sites, e-mails ou mensagens, a menos que confie na fonte e compreenda o objetivo da ação. Verifique as instruções de forma independente. Se um site solicitar que execute um comando ou realize uma ação técnica, verifique a documentação oficial ou entre em contacto com o suporte antes de prosseguir.
- Proteja os seus dispositivos. Use uma solução antimalware em tempo real atualizada com um componente de proteção da Web.
- Informe-se sobre as técnicas de ataque em constante evolução. Compreender que os ataques podem vir de vetores inesperados e evoluir ajuda a manter a vigilância. Continue a ler o nosso blog!
Dica profissional: a extensão gratuita Malwarebytes Browser Guard é um bloqueador de anúncios muito eficaz e protege-o de sites maliciosos. Ela também avisa quando um site copia algo para a sua área de transferência e adiciona um pequeno trecho de código para tornar quaisquer comandos inúteis.
Desde a denúncia de ameaças até à sua remoção.
Os riscos de cibersegurança nunca devem ir além das manchetes. Mantenha as ameaças longe dos seus dispositivos , descarregando hoje mesmo Malwarebytes .
