A Microsoft identificou, nesta quinta-feira (16), um aumento expressivo nos ataques que utilizam o malware ACR Stealer. A ameaça atua de forma silenciosa e rouba dados pessoais e profissionais, como senhas armazenadas no navegador, tokens de autenticação e documentos confidenciais de clientes corporativos.
O comunicado, publicado pela equipe de segurança da empresa, revelou que os criminosos intensificaram o uso de engenharia social, ou seja, técnicas de manipulação e engano, para infectar computadores sem que as vítimas percebam a invasão entre o final de abril e meados de junho.
smart_display
Nossos vídeos em destaque
“As equipes de segurança devem priorizar o monitoramento de iscas ClickFix, atividades suspeitas de WebDAV, execução de PowerShell ofuscado e tentativas de acesso a repositórios de credenciais de navegador”, orientou a Microsoft.
Como funciona a armadilha do ‘falso erro’
Para invadir as máquinas, os cibercriminosos utilizam uma tática conhecida como ClickFix. O golpe consiste em exibir telas falsas de erro ou verificações de segurança em sites comprometidos. São simulados avisos do sistema ou checagens para confirmar se a pessoa é humana.
A mensagem instrui o usuário a copiar e executar um código no terminal do Windows (cmd ou PowerShell) sob o pretexto de “corrigir o problema”. Ao colar e executar o comando, a própria vítima autoriza o download e a instalação do malware no computador.
Duas formas de invasão e alto nível de disfarce
Segundo a Microsoft, a campanha do ACR Stealer funciona no modelo de “malware como serviço” (MaaS) e deriva do antigo Amatera Stealer. Para invadir os sistemas e burlar antivírus, ela usa duas estratégias principais: as ferramentas do próprio Windows e a esteganografia, técnica que esconde o código do vírus dentro dos pixels de imagens aparentemente inofensivas.
A primeira vertente baixa arquivos maliciosos mascarados em servidores remotos e utiliza programas nativos do sistema operacional, como o rundll32.exe, para rodar o código. Os agentes maliciosos também utilizam redes de blockchain (técnica chamada EtherHiding) para esconder o endereço do servidor que recebe os dados roubados, o que impede o bloqueio da infraestrutura pelos sistemas de defesa.
)
){kind=link}
Na esteganografia, o vírus usa o utilitário MSHTA e esconde o código malicioso dentro dos pixels de imagens comuns no formato JPEG hospedadas na internet. O programa baixa a imagem inofensiva e extrai o código diretamente na memória RAM, sem salvar arquivos suspeitos no disco rígido.
Em ambas as rotas, o malware apaga o histórico de comandos digitados no PowerShell, altera as datas dos arquivos para parecerem antigos e cria tarefas agendadas falsas para continuar funcionando mesmo após o computador ser reiniciado. Após se consolidar no sistema, o ACR Stealer extrai e descriptografa informações salvas nos navegadores baseados no Chromium, como Google Chrome e Microsoft Edge.
O foco do ataque inclui: senhas e cookies de sessão armazenados; tokens de acesso e autenticação; documentos em PDF e arquivos do Microsoft 365 salvos nas pastas Área de Trabalho e Downloads; dados sincronizados em diretórios corporativos como OneDrive e SharePoint.
Como se proteger
A Microsoft reforça, no comunicado, que a principal forma de prevenção contra ataques do tipo ClickFix é nunca copiar e executar comandos no terminal do Windows recomendados por sites da internet, mesmo quando a página alegar a necessidade de resolver um erro ou validar o acesso.
Para empresas, a recomendação inclui a restrição do uso de ferramentas como PowerShell, Python e mshta.exe a partir de pastas graváveis pelos usuários, além do bloqueio de domínios recém-criados ou de baixa reputação.