A evolução do ClickFix: golpistas agora abusam do Windows Terminal para implantar stealers

Pesquisadores de segurança da Microsoft emitiram um alerta detalhado sobre uma evolução significativa na campanha de engenharia social de longa duração conhecida como 'ClickFix'. Essa ameaça, que historicamente dependia de enganar os usuários por meio da caixa de diálogo 'Executar' do Windows, agora adotou uma abordagem mais sofisticada e furtiva ao transformar em arma o aplicativo Windows Terminal. Essa mudança marca uma tendência preocupante em que os atacantes estão abusando cada vez mais de ferramentas legítimas e confiáveis do sistema para dar credibilidade às suas operações maliciosas e contornar as defesas dos usuários.

A isca central de engenharia social permanece a mesma. Os atacantes geralmente iniciam o contato por meio de plataformas como Microsoft Teams, Slack ou e-mail, fingindo ser suporte técnico, equipe de TI ou um colega. Eles afirmam que o sistema do usuário tem um problema crítico — frequentemente um falso erro 'ClickFix' — que requer atenção imediata. Anteriormente, as instruções guiavam a vítima a abrir a caixa de diálogo Executar (Win+R) e colar um comando malicioso. A nova tática instrui o usuário a abrir o Windows Terminal, um aplicativo moderno de linha de comando com múltiplas abas que é um componente padrão nas versões atuais do Windows e é percebido por muitos como uma ferramenta administrativa legítima.

Uma vez que o usuário abre o Windows Terminal, ele é orientado a colar e executar um comando específico do PowerShell. Esse comando é o mecanismo crítico de entrega da carga maliciosa. Ele é projetado para baixar e executar um script secundário ou um executável malicioso de um servidor remoto controlado pelo atacante. A carga maliciosa final nessas campanhas recentes tem sido frequentemente o Lumma Stealer (também conhecido como LummaC2), um potente malware roubador de informações vendido como Malware-como-Serviço (MaaS) em fóruns clandestinos.

O Lumma Stealer é uma ameaça significativa por si só. Ele é capaz de coletar uma vasta gama de dados sensíveis de uma máquina infectada. Isso inclui credenciais armazenadas em navegadores da web (senhas, dados de preenchimento automático), cookies e tokens de sessão, informações de carteiras de criptomoedas e seeds (sementes), arquivos de diretórios específicos e dados de aplicativos de mensagens como Telegram e Discord. As informações roubadas são então exfiltradas para um servidor de comando e controle (C2), onde podem ser usadas para mais ataques, vendidas na dark web ou aproveitadas para roubo financeiro direto, particularmente de contas de criptomoedas.

A mudança estratégica da caixa de diálogo Executar para o Windows Terminal não é meramente cosmética. Ela representa um esforço calculado para aumentar a taxa de sucesso do ataque de engenharia social. O Windows Terminal é um aplicativo assinado pela Microsoft, e seu uso não aciona os mesmos alertas imediatos que receber instruções para baixar um arquivo .exe desconhecido. Para usuários menos técnicos, ser orientado a usar um programa chamado 'Terminal' que já está em seu computador pode parecer uma etapa legítima de solução de problemas. Esse abuso da confiança em ferramentas nativas é um desafio crescente para os defensores.

Implicações para a Comunidade de Cibersegurança
Essa evolução tem várias implicações importantes para profissionais de segurança e organizações:

1. Erosão da Confiança em Ferramentas Nativas: O abuso de ferramentas como Windows Terminal, PowerShell e outras desfoca a linha entre administração legítima e atividade maliciosa. As soluções de monitoramento de segurança agora devem examinar o contexto e a intenção por trás do uso dessas ferramentas, não apenas sua execução.
2. Maior Eficácia da Engenharia Social: Ao incorporar um aplicativo legítimo do sistema na cadeia de ataque, os agentes de ameaça baixam a guarda da vítima. Os programas de treinamento de conscientização em segurança devem ser atualizados para ensinar aos usuários que instruções maliciosas podem vir por meio de qualquer interface confiável.
3. Desafios de Detecção: Comandos maliciosos executados dentro do Windows Terminal podem ser mais difíceis de distinguir da atividade legítima de um administrador no nível do endpoint. Isso requer análises comportamentais mais avançadas que procurem sequências anômalas de comandos, conexões de rede incomuns após o uso do terminal ou a execução de scripts/cargas maliciosas conhecidas.
4. O Fator MaaS: O uso de stealers comerciais como o Lumma reduz a barreira de entrada para atacantes, permitindo que grupos menos sofisticados implantem malware de alto impacto. Os defensores devem presumir que essas táticas de engenharia social em evolução serão rapidamente adotadas por uma ampla gama de agentes de ameaças.

Recomendações para a Defesa
Para mitigar o risco representado por essa campanha ClickFix evoluída e por ameaças semelhantes, as organizações devem considerar uma abordagem multicamadas:

• Atualizar o Treinamento de Usuários: Incorporar imediatamente exemplos específicos desse vetor de ataque nos materiais de conscientização de segurança. Enfatizar que nenhum pessoal de suporte legítimo jamais pedirá a um usuário que execute comandos arbitrários no Terminal, PowerShell ou na caixa de diálogo Executar.
• Implementar Controle de Aplicativos: Quando viável, usar listas de permissão de aplicativos ou políticas para restringir a execução do PowerShell e de mecanismos de script apenas a usuários e sistemas autorizados.
• Aprimorar o Monitoramento de Endpoints: Implantar soluções EDR/XDR capazes de correlacionar a linhagem de processos. Um alerta deve ser gerado se o Windows Terminal gerar processos que baixam conteúdo da internet ou exibam comportamentos típicos de um stealer (por exemplo, acessar arquivos de dados do navegador).
• Segmentação e Filtragem de Rede: Usar gateways da web e firewalls para bloquear conexões com IPs e domínios maliciosos conhecidos. Como a carga maliciosa inicial é baixada, bloquear a URL de destino do comando inicial pode quebrar a cadeia de ataque.
• Princípio do Privilégio Mínimo: Garantir que contas de usuário padrão não tenham privilégios administrativos, o que pode limitar o dano de uma infecção bem-sucedida.

A evolução da campanha ClickFix da caixa de diálogo Executar para o Windows Terminal é um sinal claro de que os agentes de ameaças estão refinando continuamente seus roteiros de engenharia social. Ao explorar a confiança inerente que os usuários depositam nas ferramentas próprias de seu sistema operacional, eles alcançam um nível mais alto de engano. Para a comunidade de cibersegurança, isso ressalta a necessidade perpétua de adaptar as estratégias defensivas, indo além dos indicadores estáticos de comprometimento e em direção a uma compreensão mais profunda do comportamento e da intenção maliciosos, independentemente do aplicativo em que chegam.