ClickFix no cache: detectar a sequência importa mais que procurar o download

A Microsoft identificou uma variante de ClickFix em que um site comprometido coloca um script no cache do navegador, disfarçado de imagem PNG, antes de convencer a vítima a executar um comando que usa esse conteúdo.[5] A cadeia descrita depende dessa ação induzida no sistema; a reportagem não afirma execução automática apenas pela visita à página.[5] Para defesa, a pergunta deixa de ser somente “qual executável foi baixado?” e passa a ser “como conteúdo do navegador virou execução local?”.

O que muda para quem desenvolve

Na cadeia observada, VBScript procura entradas de cache, inclusive em perfis do Firefox, seleciona uma pelo tamanho esperado, copia o conteúdo para um arquivo .vbs e o executa por WScript.[5] As etapas seguintes envolvem PowerShell, assemblies .NET em memória e injeção em um processo legítimo recém-iniciado, timeout.exe.[5] O objetivo informado inclui credenciais do navegador e do dispositivo.[5]

Minha análise é que uma regra centrada exclusivamente no último arquivo perde o encadeamento relevante. Proponho investigar a transição entre navegação, execução de scripts e conexões externas. Um processo com nome conhecido não deveria encerrar a análise sem contexto de origem e comportamento.

O caso também importa para agentes que leem páginas. A matéria cita uma prova de conceito da CloudSEK em que instruções ocultas ou fora da área visível induziram sistemas de resumo testados a inserir orientações ClickFix na resposta.[5] Isso é evidência daquele teste, não garantia sobre qualquer resumidor.[5]

Como aplicar

Desenhe uma hipótese de detecção com eventos ordenados: navegação para uma isca, execução local de script, acesso a arquivos do cache e atividade de rede posterior. A Microsoft recomenda correlacionar atividade do navegador, histórico da caixa Executar, processos WScript ou PowerShell e tarefas agendadas, além de habilitar controles e registro apropriados.[5]

Valide a disponibilidade dessa telemetria com uma simulação benigna autorizada, sem baixar malware nem reproduzir a cadeia ofensiva. O resultado esperado do exercício é saber quais eventos chegam ao monitoramento, como são ligados à mesma máquina e onde faltam dados. Registre falsos positivos de automações legítimas antes de bloquear toda execução de scripts.

Nos agentes, mantenha o conteúdo coletado como dado não confiável. Uma página pode descrever comandos, mas não deve conceder autorização para executá-los. Separe a extração do texto da decisão de usar ferramentas e limite o componente de leitura ao que sua tarefa precisa.

Para orientação aos usuários, o critério é concreto: CAPTCHA, verificação de conta e atualização de navegador não devem pedir que a pessoa execute código copiado de uma página.[5]

Cuidados e limites

O tamanho usado para selecionar a entrada de cache muda entre amostras.[5] Não transforme um valor observado em indicador universal. A matéria também descreve infraestrutura com rápida rotação e campanhas que usam sites comprometidos.[5]

Correlação de eventos é uma hipótese a testar, não uma promessa de detecção completa. Considere retenção, privacidade e qualidade dos registros. Apagar o cache pode remover um artefato, mas não deve ser tratado como investigação ou prova de que etapas posteriores não ocorreram.

Fonte

[5] Fonte: The Hacker News