A Microsoft identificou um crescimento expressivo de ataques informáticos com recurso ao ACR Stealer entre o final de abril e meados de junho. Segundo a equipa de segurança da tecnológica, este malware atua de forma discreta para contornar sistemas de defesa e roubar dados pessoais e empresariais, desde palavras-passe guardadas no navegador a documentos confidenciais.
Os cibercriminosos estão a intensificar o uso de táticas de engenharia social para enganar tanto os consumidores domésticos como profissionais. O objetivo passa por conseguir que a própria vítima aprove o processo de infeção no seu equipamento, sem se aperceber do perigo iminente para a sua privacidade.
A armadilha do falso erro e o roubo de dados
A estratégia central utilizada para a invasão dos sistemas é conhecida como ClickFix. O esquema exibe avisos falsos em sites comprometidos, simulando problemas técnicos ou verificações de segurança rotineiras, como os habituais testes para confirmar se o visitante é humano. A mensagem instrui a pessoa a copiar um bloco de código e a executá-lo no terminal do Windows (através do Command Prompt ou PowerShell) sob o pretexto de resolver a falha. Ao colar este comando, o utilizador inicia de imediato o descarregamento e a instalação do vírus.
Uma vez implementado, o ACR Stealer extrai as credenciais guardadas em navegadores baseados no Chromium, como o Google Chrome e o Microsoft Edge. O ataque foca-se na recolha de chaves de autenticação, cookies de sessão, ficheiros PDF e documentos do Microsoft 365 localizados no Ambiente de Trabalho e na pasta de Transferências. Diretórios de sincronização profissional, como o OneDrive e o SharePoint, também estão na mira.
Disfarce avançado e medidas de prevenção
O nível de sofisticação técnica desta ameaça — que opera no modelo de "malware como serviço" e deriva do antigo Amatera Stealer — dificulta a sua identificação. Os atacantes recorrem a redes de blockchain (uma técnica designada EtherHiding) para encobrir o servidor que recebe os dados roubados, evitando o bloqueio rápido das defesas. Paralelamente, utilizam a esteganografia com o utilitário nativo MSHTA para esconder o código malicioso nos píxeis de imagens JPEG perfeitamente vulgares. O programa extrai o vírus de forma direta para a memória RAM, evitando gravar qualquer ficheiro detetável no disco.
Após infetar a máquina, a ameaça limpa o histórico de comandos digitados, altera as datas dos ficheiros gerados para que pareçam antigos e cria tarefas agendadas falsas, garantindo que o programa continua a operar mesmo depois do computador ser reiniciado.
Para o utilizador comum, a regra de prevenção mais importante passa por nunca copiar e executar comandos de terminais sugeridos por sites desconhecidos, por muito legítima que a página possa parecer. As recomendações para as empresas sublinham a importância de restringir a utilização de ferramentas como o PowerShell, Python e mshta.exe a partir de pastas onde os colaboradores tenham permissão de gravação, aconselhando ainda o bloqueio cauteloso de domínios recém-criados ou de baixa reputação.
Nenhum comentário
Seja o primeiro!