A Microsoft publicou detalhes sobre um Windows campanha de malware chamada TerminalFix.
A engenharia social utilizada para infetar as pessoas é muito semelhante à que vimos nas campanhas do ClickFix . Um visitante do site depara-se com um CAPTCHA falso do Cloudflare que, ao ser clicado, copia secretamente um comando malicioso para a área de transferência.
De seguida, recebem instruções sobre o que precisam de fazer para "provar que são humanos", quando na realidade estão a ser instruídos para executar o comando malicioso.
Após obter acesso ao sistema, o malware descarrega o que parecem ser imagens PNG comuns de sites controlados pelo atacante, mas as imagens também contêm dados ocultos. Um script em PowerShell lê os dados de pixel das imagens: os primeiros oito bytes especificam o comprimento do ficheiro incorporado, enquanto os restantes dados são reconstruídos num executável e dois fragmentos de DLL, que são unidos no disco da vítima.
O uso de esteganografia é notável, mas não diferencia o TerminalFix de outras campanhas ClickFix que utilizaram o mesmo método.
O que diferencia o TerminalFix é a sua carga maliciosa. De uma forma ou de outra , as vítimas do ClickFix acabam muitas vezes infetadas com algum tipo de malware que rouba informação.
O TerminalFix, por sua vez, encadeia diversas técnicas de evasão consolidadas, incluindo o carregamento lateral de DLLs, a entrega esteganográfica, a ocultação de pastas, a rotação realista do User-Agent do browser e o tráfego WebSocket encriptado, em vez de depender de um único downloader PowerShell ofuscado. O seu objetivo final também é diferente.
A campanha entrega uma cadeia de dados que realiza o reconhecimento com conhecimento do domínio antes de instalar um túnel TCP reverso multiplexado personalizado.
Esta ligação oculta pode dar aos atacantes acesso à rede da vítima. O computador infetado comunica primeiro com os atacantes utilizando tráfego encriptado semelhante ao da web através da porta 443, permitindo que a ligação "reversa" passe mais facilmente pela firewall da empresa.
Desta forma, o sistema comprometido cria uma porta de entrada secreta para o acesso remoto a partir do interior da rede. "Multiplexado" significa que os atacantes podem enviar várias ligações separadas, por exemplo, para um servidor de ficheiros, base de dados ou outra estação de trabalho, através deste único túnel encriptado em simultâneo. Isto permite-lhes utilizar o computador da vítima como ponto de partida para o resto da rede.
Como se manter seguro
Em primeiro lugar, lembre-se que um CAPTCHA legítimo pode pedir-lhe para clicar em caixas ou seleccionar imagens, mas não lhe pedirá para abrir o Run, o Terminal, a Linha de Comandos ou o PowerShell e colar um comando.
- Vá com calma. Não tenha pressa em seguir instruções numa página web ou aviso, especialmente se lhe pedirem para executar comandos no seu dispositivo ou copiar e colar código. Os atacantes aproveitam a urgência para desencorajar a reflexão cuidadosa, por isso, desconfie de páginas que incentivem a ação imediata. As páginas sofisticadas do ClickFix podem adicionar contagens decrescentes, contadores de utilizadores ou outras táticas de pressão para o fazer agir rapidamente.
- Evite executar comandos ou scripts de fontes não fidedignas. Nunca execute código ou comandos copiados de sites, e-mails ou mensagens, a menos que confie na fonte e compreenda exatamente o que o comando irá fazer.
- Verifique as instruções por conta própria. Seum site lhe pedir para executar um comando ou realizar uma ação técnica, consulte a documentação oficial ou contacte o apoio técnico antes de prosseguir.
- Limite o uso de copiar e colar para comandos. Digitar os comandos manualmente, em vez de copiar e colar, pode reduzir o risco de executar, sem saber, programas maliciosos ocultos no texto copiado.
- Proteja os seus dispositivos. Utilizeumasolução antimalwareatualizada e em tempo real com um componente de proteção da Web.
- Aprenda a reconhecer técnicas de ataque em constante evolução. Saber que os atacantes mudam os seus métodos continuamente pode ajudá-lo a identificar instruções suspeitas. Continue a acompanhar o nosso blog!
Dica profissional:sabia que o programa gratuito Malwarebytes Browser Guard avisa quando um site tenta copiar algo para a sua área de transferência?
Alguns navegadores também restringem ou avisam sobre determinadas utilizações da área de transferência. Desde o macOS Tahoe 26.4 , o Terminal pode avisar os utilizadores quando colam texto copiado de um browser ou aplicação de mensagens. Esta proteção opera ao nível da aplicação e do sistema operativo, e não dentro do navegador.
Impedir as ameaças antes que causem qualquer dano.
Browser Guard Malwarebytes Browser Guard automaticamente páginas de phishing e sites maliciosos. É gratuito e instala-se com um clique. Adicione-o ao seu navegador →
