Campanha 'OneClik' usa ClickOnce da Microsoft para atacar setor energético

Uma nova onda de ataques direcionados contra infraestruturas energéticas críticas está utilizando a tecnologia ClickOnce da Microsoft, em uma campanha batizada de 'OneClik' por pesquisadores. A operação demonstra inovações preocupantes na metodologia de ataques, combinando serviços legítimos em nuvem com frameworks maliciosos de implantação de aplicativos.

O ClickOnce, tecnologia da Microsoft para implantação simplificada de softwares, tornou-se cúmplice involuntário nestes ataques. Criminosos cibernéticos estão abusando de sua funcionalidade para distribuir silenciosamente malwares em sistemas de empresas de petróleo e gás. A técnica burla medidas tradicionais de segurança ao se passar por atualizações legítimas de fontes confiáveis.

A cadeia de ataque começa com credenciais comprometidas ou e-mails de spear-phishing que direcionam vítimas para plataformas de armazenamento em nuvem hospedando aplicativos ClickOnce maliciosos. Quando executados, esses aplicativos utilizam os mecanismos de atualização automática do ClickOnce para baixar e instalar componentes maliciosos adicionais sem exigir interação do usuário.

O que torna a campanha OneClik particularmente perigosa é seu uso de:

1. Infraestrutura legítima em nuvem (incluindo serviços da própria Microsoft) para hospedar payloads
2. Certificados digitais de fornecedores comprometidos para assinar pacotes maliciosos
3. Mecanismos de atualização silenciosa do ClickOnce para acesso persistente

Organizações do setor energético são aconselhadas a implementar:

• Políticas rígidas de controle de aplicativos
• Monitoramento reforçado de implantações ClickOnce
• Segmentação de rede para tecnologia operacional crítica
• Autenticação multifator para todos os serviços em nuvem

A campanha destaca as crescentes ameaças a sistemas de controle industrial e a necessidade de medidas de segurança especializadas em ambientes de infraestrutura crítica. A Microsoft foi notificada sobre o abuso do ClickOnce nestes ataques, mas nenhuma alteração imediata na tecnologia foi anunciada.