Hackers usam pop-ups falsos do reCAPTCHA para instalar malware e roubar criptomoedas
- Hackers estão implantando pop-ups falsos do reCAPTCHA para instalar o malware Amatera Stealer, visando carteiras de criptomoedas e dados do navegador.
- A eSentire relata o aumento de ataques impulsionados pelo ClickFix que entregam Amatera e NetSupport RAT por meio de prompts de segurança enganosos.
- Novos kits de phishing e táticas de ofuscação, incluindo o Cephas, estão ampliando o alcance de campanhas de malware em sites comprometidos e páginas de verificação falsas.
O grupo de cibersegurança eSentire descobriu o uso de pop-ups falsos estilo CAPTCHA para enganar vítimas e fazer com que implantassem o malware de coleta de credenciais Amatera Stealer e o NETSupport RAT, abusando de um método conhecido como ClickFix.
A Unidade de Resposta a Ameaças (TRU) da eSentire tem monitorado uma escalada em campanhas que abusam do ClickFix para obter acesso inicial a sistemas-alvo em novembro. De acordo com a TRU, os agentes de ameaça usam o método para socialmente enganar as vítimas a executar comandos maliciosos manualmente por meio do prompt Executar do Windows.
Uma vez executados, esses comandos iniciam uma cadeia de infecção que termina com a implantação do Amatera Stealer e do NetSupport RAT, ambas ferramentas legítimas de monitoramento remoto que foram reaproveitadas por cibercriminosos para acesso remoto não autorizado.
Campanha ClickFix usa reCAPTCHA para introduzir malware
De acordo com a pesquisa da eSentire publicou na última quinta-feira, hackers estão atraindo vítimas usando sites falsos e pop-ups que parecem "verificações de segurança", incluindo caixas de verificação fraudulentas do reCAPTCHA e páginas falsas do Cloudflare Turnstile.
As interfaces enganosas solicitam que os usuários "corrijam" um suposto problema, com as instruções fazendo com que executem comandos prejudiciais sem ver os riscos. Uma vez que o comando inicial é executado, o Amatera Stealer é entregue primeiro, seguido pela instalação do NetSupport Manager, que permite que os hackers monitorem e controlem a máquina comprometida como se estivessem fisicamente presentes.
O Amatera Stealer não é uma ameaça totalmente nova, mas a última evolução do ACR Stealer, também conhecido como AcridRain. A versão anterior apareceu pela primeira vez como um produto de malware como serviço (MaaS) em fóruns de hackers em 2024, que vários usuários implantaram por meio de pacotes de assinatura.
As vendas do ACR foram pausadas em meados de 2024 quando seu desenvolvedor, conhecido online como SheldIO, vendeu o código-fonte do malware. Apesar do anúncio da venda, o grupo disse que não era "o fim" de seu desenvolvimento. Os pesquisadores agora acreditam que o Amatera é o sucessor direto do ACR, reconstruído com mais recursos e novas técnicas de evasão.
O Amatera, detectado pela empresa de auditoria de segurança Proofpoint em junho, está disponível por assinatura, de US$ 199 por mês a US$ 1.499 anualmente.
"O Amatera fornece aos agentes de ameaça extensas capacidades de exfiltração de dados, direcionadas a carteiras de criptomoedas, navegadores, aplicativos de mensagens, clientes FTP e serviços de e-mail. Ele emprega estratégias avançadas de evasão, como WoW64 SysCalls, para contornar mecanismos de gancho de modo de usuário usados por sandboxes, soluções de Antivírus e produtos EDR", disse a eSentire.
O malware é escrito em C++ e é capaz de coletar senhas salvas, detalhes de cartões, históricos de navegação e arquivos de navegadores como Chrome, Brave, Edge, Opera, Firefox e plataformas especializadas como Tor Browser e Thunderbird.
Carregadores multiestágio do Windows PowerShell escondendo malware
De acordo com a análise de ameaças da eSentire, o processo de infecção do Amatera é construído sobre várias camadas de comandos PowerShell ofuscados.
Os pesquisadores da TRU viram uma fase descriptografando payloads subsequentes usando um processo XOR na string "AMSI_RESULT_NOT_DETECTED", um termo associado à Interface de Análise Antimalware da Microsoft. O desenvolvedor do carregador pode ter selecionado a frase intencionalmente para confundir pesquisadores que realizam análise dinâmica.
Embora o Amatera seja o payload mais comum entregue nessas campanhas, a eSentire também documentou casos em que o mesmo carregador foi usado para implantar outros infostealers, incluindo Lumma e Vidar. Algumas amostras não possuíam parâmetros de configuração necessários para executar carregadores multiestágio, nos quais os hackers optaram por implantar o NetSupport Manager diretamente.
A eSentire e outras empresas de segurança documentaram campanhas de e-mail distribuindo arquivos de Script do Visual Basic disfarçados de faturas. Ao serem abertos, os arquivos executavam scripts em lote que iniciavam carregadores PowerShell entregando o XWorm.
Outras campanhas envolveram sites comprometidos que redirecionavam visitantes para páginas de verificação falsas do Cloudflare, que imitam os prompts do ClickFix. Essa atividade foi vinculada a uma operação conhecida pelos nomes SmartApeSG, HANEYMANEY e ZPHP, todas entregando o NetSupport RAT como payload final.
Hackers haviam construído sites fraudulentos do Booking.com que hospedavam verificações de CAPTCHA falsas, instruindo os usuários a abrir a caixa de diálogo Executar do Windows e executar um comando, instalando diretamente um script de roubo de credenciais nos sistemas infectados.
Alguns dos campanhas de phishing conectadas a essas entregas de malware estão usando um novo kit de phishing conhecido como Cephas. O Cephas, de acordo com a empresa de soluções de cibersegurança Barracuda, usa um método avançado de ofuscação que insere caracteres invisíveis no código-fonte das páginas de phishing, dificultando a detecção por scanners automatizados.
"O kit obscurece seu código criando caracteres invisíveis aleatórios dentro do código-fonte que ajudam a evadir scanners antifraude e obstruem as regras YARA baseadas em assinatura de corresponder exatamente aos métodos de phishing", disse a Barracuda escreveu em sua análise na semana passada.
As mentes mais inteligentes do setor de criptomoedas já leem nosso boletim informativo. Quer entrar? Junte-se a eles.
Aviso Legal. As informações fornecidas não constituem aconselhamento de investimento. Cryptopolitan.com não assume responsabilidade por quaisquer investimentos realizados com base nas informações fornecidas nesta página. Recomendamos fortemente a realização de pesquisa independente e/ou consulta com um profissional qualificado antes de tomar quaisquer decisões de investimento.
Florence Muchai
Florence cobre notícias sobre criptoativos, jogos, tecnologia e IA há 6 anos. Sua graduação em Estudos de Computação na Meru University of Science and Technology e em Gestão de Desastres e Diplomacia Internacional no MMUST equipam-na plenamente com habilidades linguísticas, de observação e técnicas. Florence trabalhou no VAP Group e como editora em várias casas de mídia de criptoativos.
