Ameaça usa sites invadidos, rede Polygon e engenharia social ClickFix para infectar empresas com infostealers.
A WatchGuard Technologies emitiu um alerta de segurança urgente sobre o avanço global da campanha maliciosa ErrTraffic. Operada como um serviço cibercriminoso (Malware-as-a-Service), a ameaça sequestra sites legítimos em WordPress e utiliza uma combinação de duas técnicas avançadas: o EtherHiding, que esconde os servidores dos atacantes dentro da blockchain da Polygon, e o ClickFix, uma armadilha de engenharia social que induz o próprio usuário a colar e executar comandos maliciosos no terminal do Windows, resultando no roubo de credenciais e acessos corporativos.
Como funciona a cadeia de ataque
O ataque começa quando cibercriminosos exploram vulnerabilidades em plugins desatualizados do WordPress ou utilizam credenciais administrativas roubadas para injetar scripts maliciosos em sites legítimos. Diferente dos ataques tradicionais, o ErrTraffic emprega a técnica EtherHiding: um script invisível inserido no site consulta Contratos Inteligentes hospedados na blockchain da Polygon para descobrir o endereço do servidor de Comando e Controle ativo, tornando o bloqueio por reputação de IP ou DNS praticamente ineficaz.
Ao navegar pelo site infectado, o usuário é impactado pela técnica ClickFix: uma janela pop-up simula uma validação de reCAPTCHA, uma atualização urgente do navegador ou um erro crítico do sistema, orientando a vítima a pressionar Win + R, colar o conteúdo com Ctrl + V e pressionar Enter. Sem saber, o usuário cola um comando oculto em PowerShell que o script malicioso já havia copiado para a área de transferência, instalando infostealers avançados como Vidar e Stealc.
Por que a ameaça é extremamente perigosa
Como o arquivo malicioso não é baixado diretamente pelo navegador, ferramentas de segurança legadas que dependem de assinaturas acabam confiando na ação do próprio usuário. O impacto nos negócios é significativo, já que os malwares focam no roubo de senhas salvas no navegador, chaves de carteiras digitais e cookies de sessão ativos, permitindo sequestro de sessão em e-mails corporativos, VPNs e sistemas em nuvem sem precisar da senha ou do segundo fator de autenticação.
Recomendações de proteção para empresas
“A adoção do WatchGuard Endpoint Security 360 permite monitorar e bloquear instâncias não autorizadas do PowerShell iniciadas por caixas de diálogo do sistema ou navegadores. No nível de rede, o uso do firewall WatchGuard Firebox com inspeção profunda de pacotes HTTPS e proteção DNS ajuda a barrar conexões com nós de blockchain suspeitos e domínios de baixa reputação”, explica Renato Marchi, Sales Engineer Manager LATAM da WatchGuard.
“Como o objetivo primário da ameaça é o roubo de dados de acesso, a implementação do WatchGuard AuthPoint MFA com validação de DNA do dispositivo garante que credenciais vazadas não permitam login a partir de computadores não autorizados”, complementa o executivo.
Manter servidores WordPress atualizados e treinar colaboradores para jamais colarem comandos do teclado em janelas de terminal do Windows são etapas cruciais de prevenção.
Sobre a WatchGuard Technologies
WatchGuard Technologies é uma líder global em cibersegurança unificada, desenvolvida especificamente para provedores de serviços gerenciados (MSPs), protegendo mais de 1,5 milhão de clientes em todo o mundo.
Fonte: MFC Comunicação (mfccomunica@gmail.com)
