Campanha ClickFix Gerada por IA Entrega o SmartRAT

SOC Prime Team

Seguir

Campanha ClickFix Gerada por IA Entrega o SmartRAT

Detection stack

AIDR
Alert
ETL
Query

Relatório de Ameaça
Fluxo de Ataque
Detecções
Simulações

Resumo

Atores de ameaça estão usando construtores de sites impulsionados por IA para criar páginas de phishing persuasivas que imitam marcas bancárias brasileiras. Essas páginas dependem da técnica ClickFix, usando verificações CAPTCHA falsas e mensagens de recuperação do sistema para convencer as vítimas a executarem comandos maliciosos do PowerShell. O resultado é a entrega do SmartRAT, um trojan bancário baseado em PowerShell construído para acesso remoto e roubo de informações financeiras.

Investigação

Zscaler ThreatLabz identificou múltiplos domínios de typosquatting e analisou toda a cadeia de infecção, observando comentários de código gerados por IA e scripts projetados para resistir à inspeção. A investigação também expôs uma fraqueza no painel de comando e controle construído por IA que possibilitava a evasão de autenticação através de manipulação de localStorage. Pesquisadores ainda decodificaram o protocolo de comunicação do SmartRAT e documentaram seu uso de criptografia AES-CBC.

Mitigação

Organizações devem implementar filtros web para bloquear domínios conhecidos de typosquatting e maliciosos. Defesas de endpoint devem ser configuradas para detectar e restringir atividades suspeitas do PowerShell e criação não autorizada de tarefas agendadas. Esforços de conscientização do usuário também devem ensinar funcionários a reconhecerem engenharia social no estilo ClickFix, incluindo tela azul falsa, recuperação ou prompts CAPTCHA.

Resposta

Se a atividade do SmartRAT for detectada, isole os endpoints afetados imediatamente para interromper o tráfego de comando e controle e limitar movimentações futuras. Conduza análise forense para determinar o método de persistência, seja baseado em serviço ou tarefa agendada, e busque por artefatos relacionados, como msedgeupdate.txt. Revise os logs de proxy web para tráfego na infraestrutura identificada e inicie redefinição de credenciais para qualquer usuário afetado.

"graph TB %% Class Definitions Section classDef action fill:#99ccff classDef tool fill:#cccccc classDef malware fill:#ff9999 classDef technique fill:#ccffcc %% Initial Access and Execution Phase action_phishing["Ação – T1566 Phishing Atores de ameaça usam domínios de typosquatting e sites gerados por IA para atrair vítimas."] class action_phishing action action_clickfix["Ação – T1204.004 Execução pelo Usuário: Cópia e Colagem Maliciosa Engana usuários para colarem um comando malicioso do PowerShell na caixa de execução do Windows."] class action_clickfix action action_ingress["Ação – T1105 Transferência de Ferramenta de Ingresso Baixa um dropper furtivo chamado st.txt do IP remoto 64.95.13.238."] class action_ingress action tool_dropper["Ferramenta – Nome: st.txt Descrição: Dropper furtivo usado para facilitar a entrega do malware principal."] class tool_dropper tool %% Malware Execution and Persistence Phase malware_smartrat["Malware – Nome: SmartRAT Descrição: RAT principal usado para vigilância e roubo de dados financeiros."] class malware_smartrat malware action_user_exec_file["Ação – T1204.002 Execução pelo Usuário: Arquivo Malicioso Executa o malware principal SmartRAT."] class action_user_exec_file action action_gather_info["Ação – T1592.001/002 Coleta de Informações do Host da Vítima Coleta detalhes de hardware, software e SO para gerar um token de identidade único."] class action_gather_info action action_persistence_service["Ação – T1543.003 Criar ou Modificar Processo do Sistema: Serviço do Windows Cria um serviço do Windows chamado MicrosoftEdgeUpdateCore para persistência."] class action_persistence_service action action_persistence_registry["Ação – Persistência via Chaves de Registro de Execução Usa chaves de execução do registro para manter o acesso."] class action_persistence_registry action action_priv_esc["Ação – T1548 Escalação de Privilégio Solicita elevação do UAC para executar o serviço com privilégios de SISTEMA."] class action_priv_esc action %% Command and Control and Exfiltration Phase action_c2["Ação – T1071 Comando e Controle Utiliza sockets TCP brutos em porta não conformista 51888 para comunicação."] class action_c2 action action_exfiltrate["Ação – T1041 Exfiltração Sobre Canal C2 Rouba dados financeiros através da conexão C2 estabelecida."] class action_exfiltrate action %% Post-Exploitation and Evasion Phase action_video_capture["Ação – T1125 Captura de Vídeo Realiza transmissão de tela para vigilância."] class action_video_capture action action_input_tracking["Ação – T1056 Rastreamento de Entrada Utiliza keylogging para monitorar entradas do usuário."] class action_input_tracking action action_mfa_interception["Ação – T1111 Interceptação de Autenticação de Múltiplos Fatores Utiliza sobreposições falsas de marca para roubar tokens MFA."] class action_mfa_interception action action_masquerading["Ação – T1036 Mascaramento Usa nomes de arquivos de isca como msedge.txt para evadir detecção."] class action_masquerading action action_file_deletion["Ação – T1070.004 Remoção de Indicadores: Exclusão de Arquivos Usa um comando de desinstalação para reduzir a pegada forense."] class action_file_deletion action %% Connection Flow action_phishing –>|conduz a| action_clickfix action_clickfix –>|conduz a| action_ingress action_ingress –>|baixa| tool_dropper tool_dropper –>|executa| action_user_exec_file action_user_exec_file –>|inicia| malware_smartrat malware_smartrat –>|realiza| action_gather_info malware_smartrat –>|estabelece| action_persistence_service malware_smartrat –>|estabelece| action_persistence_registry malware_smartrat –>|tenta| action_priv_esc action_priv_esc –>|habilita| action_c2 action_c2 –>|usado para| action_exfiltrate action_c2 –>|usado para| action_video_capture action_c2 –>|usado para| action_input_tracking action_c2 –>|usado para| action_mfa_interception malware_smartrat –>|usa| action_masquerading malware_smartrat –>|realiza| action_file_deletion "

Fluxo de Ataque

Ver

## Execução de Simulação

Pré-requisito: O Teste de Pré-voo de Telemetria e Linha de Base deve ter sido aprovado.

Justificativa: Esta seção detalha a execução precisa da técnica adversária (TTP) projetada para acionar a regra de detecção. Os comandos e narrativa DEVEM refletir diretamente os TTPs identificados e visam gerar a telemetria exata esperada pela lógica de detecção. Exemplos abstratos ou não relacionados levarão a um diagnóstico incorreto.

Narrativa do Ataque & Comandos: O adversário ganhou acesso inicial com sucesso através de uma campanha de phishing (T1566) e agora está tentando estabelecer persistência. Para se misturar com a atividade legítima do sistema, o atacante usa uma abordagem “Viver da Terra”, executando um comando malicioso que se mascara como um processo de atualização do Microsoft Edge (T1036). O atacante executa uma instrução de linha de comando contendo a string msedgeupdate.txt para acionar um mecanismo de persistência simulado, que em um cenário real envolveria a criação de uma tarefa agendada ou serviço.

Script de Teste de Regressão:

# Script de Simulação de Persistência do SmartRAT
# Este script gera a telemetria de linha de comando específica necessária para acionar a regra de detecção.

$TargetString = "msedgeupdate.txt"
$FakePath = "C:UsersPublicDocuments$TargetString"

# Cria um arquivo de exemplo para fazer a linha de comando parecer um pouco realista
New-Item -Path $FakePath -ItemType File -Force | Out-Null

Write-Host "[+] Simulando persistência do SmartRAT via linha de comando: $TargetString" -ForegroundColor Cyan

# Executa o comando que aciona a lógica de detecção
Start-Process cmd.exe -ArgumentList "/c echo 'Simulando atividade do SmartRAT com $TargetString' > $FakePath" -WindowStyle Hidden

Write-Host "[+] Comando de simulação executado." -ForegroundColor Green

Comandos de Limpeza:

# Limpeza do arquivo exemplo criado durante a simulação
Remove-Item -Path "C:UsersPublicDocumentsmsedgeupdate.txt" -Force -ErrorAction SilentlyContinue
Write-Host "[+] Limpeza completa." -ForegroundColor Yellow

Junte-se à plataforma Detection as Code da SOC Prime para melhorar a visibilidade das ameaças mais relevantes para o seu negócio. Para ajudá-lo a começar e gerar valor imediato, agende uma reunião agora com os especialistas da SOC Prime.

Cadastre-se Gratuitamente