Uma sofisticada e ampla campanha cibernética comprometeu mais de 5.400 sites a maioria pertencente a pequenas e médias empresas, para distribuir malwares através da tática conhecida como ClickFix. O grande diferencial dessa operação está na infraestrutura utilizada pelos criminosos: os scripts maliciosos ficam hospedados diretamente em contratos inteligentes na rede BNB Smart Chain (BSC) tornando a derrubada das ameaças extremamente difícil para analistas e autoridades.
A engenharia social por trás do ClickFix
O método ClickFix abandona os tradicionais downloads automáticos e aposta fortemente na indução da própria vítima para executar o ataque. Ao acessar uma página comprometida, o internauta é surpreendido por uma mensagem de erro simulada, geralmente imitando alertas legítimos do Google Chrome, falhas de exibição de fontes ou testes de verificação do tipo CAPTCHA.
Para supostamente solucionar a falha técnica, a interface fraudulenta orienta o usuário a abrir o terminal de comandos do sistema operacional (como o PowerShell no Windows) e colar um código fornecido pelo próprio site. Uma vez executada pela vítima, essa sequência de comandos inicia a infecção da máquina em segundo plano.
Blockchain como escudo contra derrubadas
Tradicionalmente, servidores de comando e controle (C2) usados em ataques virtuais podem ser retirados do ar mediante ordens judiciais ou denúncias a empresas de hospedagem. Para driblar esse obstáculo, os invasores recorreram à descentralização proporcionada pela tecnologia de registro distribuído.
Ao registrar os dados maliciosos em contratos inteligentes na BNB Smart Chain, os cibercriminosos garantem que o conteúdo permaneça imutável e acessível publicamente enquanto a rede existir. O script injetado nos sites comprometidos consulta a blockchain em tempo real para obter o endereço final de onde o artefato nocivo deve ser baixado, inviabilizando as formas convencionais de mitigação.
Infostealers são o principal objetivo
O objetivo final da invasão consiste na entrega de malwares espiões, categorizados como infostealers. Esses programas foram desenhados para vasculhar o computador infectado em busca de informações sigilosas, tais como credenciais salvas em navegadores, sessões ativas de contas, dados de cartões de crédito e chaves privadas de carteiras de criptomoedas.
Orientações para proteção de empresas e usuários
Para administradores de plataformas digitais, a recomendação prioritária é auditar periodicamente sistemas de gerenciamento de conteúdo (como o WordPress), manter temas e plugins devidamente atualizados e implementar autenticação multifator em todas as contas de acesso administrativo.
Já os usuários finais devem manter atenção redobrada ao navegar: sites confiáveis e mecanismos legítimos de navegação nunca exigirão a execução manual de códigos no terminal ou no prompt de comando para corrigir erros visuais ou autenticar acessos.