Um novo método de engenharia social está a ser utilizado por cibercriminosos para infetar computadores através de falsas páginas de verificação reCAPTCHA. O esquema baseia-se na manipulação da área de transferência para forçar a execução de comandos maliciosos pelos próprios utilizadores, conforme revelou uma investigação da Malwarebytes. O alerta serve de aviso para a sofisticação destas campanhas, que inicialmente visavam alvos corporativos específicos, mas que agora se estenderam ao público geral na internet.
Como funciona o esquema de validação
O ataque começa habitualmente em sites que prometem acesso a conteúdos populares de grande interesse, tais como filmes, música, imagens ou artigos de notícias. Quando o visitante tenta aceder ao conteúdo, é confrontado com um ecrã onde lhe é pedido para provar que não é um robô.
Ao clicar na caixa de seleção, a página web escreve secretamente um comando na área de transferência do sistema. Nos navegadores baseados em Chromium, um site apenas pode realizar esta ação com autorização, mas os atacantes conseguem contornar a lógica fazendo com que o clique na caixa simule esse consentimento.
Em seguida, surge uma mensagem personalizada com instruções para o utilizador. É solicitado que a vítima pressione a combinação de teclas Windows + R, utilize o atalho Ctrl + V na caixa de diálogo que surge e carregue em Enter para finalizar. O texto exibido no ecrã simula uma verificação legítima, mas oculta o perigo real.
Execução invisível de código
Ao seguir os passos indicados, o utilizador abre a funcionalidade Executar do sistema Windows e cola um comando que invoca um executável legítimo do ecossistema, o mshta.exe. Esta ferramenta é usada para descarregar um ficheiro alojado num domínio controlado pelos piratas informáticos. Para evitar suspeitas, o ficheiro remoto apresenta extensões comuns de multimédia, como mp3, mp4, jpg ou html.
Contudo, este ficheiro esconde uma instrução codificada em PowerShell que corre de forma totalmente invisível no computador. O objetivo é descarregar e instalar um malware focado na extração de dados pessoais.
Segundo os investigadores de segurança, a maioria destas campanhas tem servido para disseminar a ameaça conhecida como Lumma Stealer, embora recentemente tenham sido detetados ataques focados na distribuição do SecTopRAT. Ambas as ferramentas foram desenhadas para roubar dados confidenciais e credenciais guardadas nas máquinas das vítimas.
Nenhum comentário
Seja o primeiro!