Campanha de Malware ClickFix Retorna com Novas Táticas de Entrega

Resumo

Uma nova campanha ClickFix foi identificada utilizando páginas de verificação falsas do Cloudflare para atingir usuários de macOS e Windows. A campanha utiliza domínios maliciosos para hospedar conteúdo enganoso e distribuir malware. A carga útil específica do malware não pôde ser recuperada durante esta investigação devido a erros do servidor e falhas de resolução.

Investigação

O investigador analisou o tráfego gerado pelas páginas de verificação falsas e identificou uma cadeia de URLs hospedadas em um domínio malicioso específico. As tentativas de recuperar o malware para Windows resultaram em um erro 403 Proibido, enquanto o comando específico para macOS levou a um domínio que falhou em resolver. A investigação concentrou-se nos padrões de URL e na infraestrutura de hospedagem utilizada para os scripts enganosos.

Mitigação

Os usuários devem ser educados para reconhecer páginas de verificação falsas e evitar executar comandos ou baixar arquivos sugeridos por prompts inesperados do navegador. As organizações devem implementar filtros web para bloquear domínios maliciosos conhecidos identificados nesta campanha. Também é recomendada a monitoração de execuções de processos incomuns após interações baseadas na web.

Resposta

Após a detecção de comunicação com os domínios maliciosos identificados, isole o host afetado da rede. Conduza uma análise forense do endpoint para determinar se algum comando foi executado ou se o malware foi baixado com sucesso. Revise os logs do proxy web para identificar outros hosts internos potencialmente comprometidos que comunicam com a infraestrutura identificada.

Execução de Simulação

• Narrativa do Ataque & Comandos: O adversário conseguiu persuadir um usuário a visitar uma página falsa de “Verificação do Cloudflare”. À medida que a página carrega, o navegador automaticamente faz várias requisições para o domínio controlado pelo atacante js-static.cfd para carregar elementos visuais enganosos (fontes e logotipos) e a lógica maliciosa central (embed.js). Esta simulação usa curl para imitar as requisições GET do navegador para esses URLs específicos a fim de acionar a regra de detecção baseada em proxy.

• Script de Teste de Regressão:

  #!/bin/bash
  # Script de Simulação da Campanha ClickFix
  # Objetivo: Gerar telemetria correspondente aos padrões da regra Sigma
  
  echo "[*] Iniciando Simulação ClickFix..."
  
  # Domínio Alvo: js-static.cfd
  # Simulando várias URLs identificadas na lógica de detecção
  
  echo "[+] Simulação: Carregando script embed malicioso..."
  curl -s -o /dev/null "http://js-static.cfd/embed.js?v=24"
  
  echo "[+] Simulação: Acerto de telemetria de API..."
  curl -s -o /dev/null "http://js-static.cfd/api/s/hit"
  
  echo "[+] Simulação: Carregando ativos falsos do Cloudflare (Logo/Fontes)..."
  curl -s -o /dev/null "http://js-static.cfd/static/CF-Logo 1.png"
  curl -s -o /dev/null "http://js-static.cfd/static/fonts/jetbrains-mono-600.woff2"
  
  echo "[+] Simulação: Evento de rastreamento de API..."
  curl -s -o /dev/null "http://js-static.cfd/api/track/event"
  
  echo "[*] Simulação Completa. Verifique o SIEM para alertas."

• Comandos de Limpeza:

  # Nenhuma mudança persistente feita no sistema. 
  # Se arquivos foram baixados, remova-os.
  rm -f embed.js CF-Logo*.png
  echo "[*] Limpeza completa."