Campanha evolui da falsa entrevista de emprego para redirecionamento via busca web, adotando a técnica ClickFix e infraestrutura C2 baseada em contratos inteligentes da Ethereum para roubar carteiras e credenciais na nuvem.
| Componente | Backdoor Node.js malicioso focado no macOS, extensão maliciosa para navegadores e contratos inteligentes da Ethereum para resolução de comando e controle (C2). |
| Vetor | Malwarevertising redirecionando para páginas de atualização falsas do sistema operacional que utilizam a técnica ClickFix, induzindo o usuário a colar e executar um comando via Terminal. |
| Impacto | Execução remota de código, roubo massivo de ativos de 157 carteiras de criptomoedas differentes e exfiltração de chaves SSH, AWS, Azure e npm. |
| Prioridade | Restringir a execução de scripts via Terminal para usuários não administrativos, monitorar tráfego de rede visando resolução de contratos ABI e auditar preferências de extensões em navegadores baseados em Chromium. |
Uma nova onda de atividades maliciosas com fortes indicações de vínculo com a Coreia do Norte demonstrou uma mudança tática significativa na operação de longa duração conhecida como Contagious Interview, também rastreada como UNC5342. Historicamente caracterizada por iscas de falsas entrevistas de emprego, testes de programação ou avaliações em vídeo para engenheiros de software, a ameaça agora se aproveita de malvertising direcionado. Ao clicar em um resultado de pesquisa patrocinado ou comprometido, a vítima é redirecionada para uma página da web falsa que simula de forma agressiva uma sequência de atualização e reinicialização do sistema operacional macOS em tela cheia.
O detalhes mais críticos desta campanha reside na adoção da técnica denominada ClickFix e no uso de infraestrutura resistente a ações de derrubada (takedown). A interface falsa é cuidadosamente projetada para induzir pânico, fazendo o usuário acreditar que o computador travou ou falhou criticamente. Em paralelo e de forma oculta, o site malicioso copia um comando de ataque para a área de transferência do sistema e instrui o usuário a abri-lo no aplicativo Terminal. A unidade operacional foi ajustada para ter ativação de uso único e de gatilho único, impedindo que analistas reproduzam a infecção em ambientes de teste usando a mesma rota de acesso.
O fluxo de ataque começa quando o usuário realiza uma busca web ostensibly innocente em um buscador genérico. Ao interagir com um resultado anúncio (malvertising), o navegador é sequestrado por uma página que bloqueia a interface e exibe um vídeo ou animação estática de atualização do macOS. Quando a barra de progresso falsa atinge o final, a página emite uma instrução exigindo que o usuário abra o aplicativo Terminal e cole o conteúdo copiado. Ao executar o comando colado manualmente, o usuário derrota os modelos de segurança nativos do sistema, executando um comando operacional de rede oculto projetado para buscar o estágio seguinte da infecção.
A execução manual desencadeia o download e a execução de um backdoor estruturado na tecnologia Node.js. A persistência neste fluxo é garantida através da configuração de um LaunchAgent nativo do sistema, garantindo que o agente malicioso seja reiniciado a cada logon. Em vez de se conectar a um endereço IP estático ou domínio convencional, o malware busca dois endereços na blockchain da Ethereum para resolver seu servidor de comando e controle, uma técnica classificada como EtherHiding. Ao consultar os contratos inteligentes, a praga extrai o endereço do servidor ativo e estabelece um beacon de comunicação, verificando o servidor remoto a cada cinco minutos para baixar e executar cargas adicionais em JavaScript.
O impacto desta operação abrange uma ampla superfície de ativos digitais e identidades de desenvolvimento. Após o beacon inicial, o servidor C2 entrega um módulo de roubo de informações altamente capacitado e uma extensão maliciosa para o navegador. A praga é programada para contornar as proteções nativas do navegador visado, injetando uma extensão falsa chamada Google Drive Offline através da modificação estrutural do arquivo Secure Preferences no Google Chrome. Está injeção permite o saque automatizado de fundosdas carteiras de criptomoedas armazenadas no navegador. As credenciais visadas abrangem os seguintes ambientes:
- Múltiplos navegadores baseados em Chromium e outros motores: Google Chrome, Brave, Microsoft Edge, Mozilla Firefox, Opera e Vivaldi.
- Uma vasta superfície de armazenamento de ativos digitais composta por 157 extensões e aplicativos diferentes de carteiras de criptomoedas.
- Credenciais críticas de infraestrutura e desenvolvimento de software: chaves privadas SSH, chaves de acesso AWS, credenciais Azure e chaves de acesso ao gerenciador de pacotes npm.
O rastreamento desta campanha requer uma estratégia de inteligência de ameaças que fuja do monitoramento reativo tradicional de domínios. O ator responsável pela operação utilizou carteias descartáveis para fundear os contratos inteligentes que hospedam as configurações de comando e controle. following O fluxo da blockchain mostra uma automação rigorosa: as carteias são abastecidas com pequenas frações de criptomoedas (aproximadamente 0.0126 ETH), o contrato inteligente é implantado, a configuração com o endereço do servidor C2 é gravada, os fundos restantes (cerca de 0.006 ETH) são transferidos e a carteira é definitivamente abandonada. Este modelo operacional inviabiliza o rastreio financeiro convencional. A telemetria defensiva focada na infecção do terminal deve focar nos seguintes indicadores:
- Monitorar processos de linha de comando no macOS com origem no aplicativo Terminal solicitando recursos externos sem assinatura de código.
- Inspecionar alterações em arquivos de configuração de LaunchAgents, especialmente aqueles persistindo scripts baseados em Node.js que não correspondem a aplicações corporativas aprovadas.
- Analisar o tráfego de rede de saída nas bordas em busca de resoluções DNS para domínios de telemetria falsos baseados no padrão
rg-telemetry[.]sbsouth-updates[.]sbs. - Auditar严格要求 logs de modificação de arquivos em sistemas de arquivos locais focando no arquivo Secure Preferences dos navegadores Chromium para detectar injeções de extensão não autorizadas.
Devido à natureza engenhosa do ataque, que combina a engenharia social clássica proativamente adaptada para o contexto de pânico do usuário com infraestrutura altamente elástica em blockchain, as defesas tradicionais baseadas em assinaturas tendem a falhar. O operador ameaçador estabeleceu um padrão onde o mesmo cluster de carteiras de criptomoedas é responsável pelo financiamento de backdoors e das extensões de navegador maliciosas usadas no saque das vítimas. A resposta a incidentes que suspeitem desta campanha deve priorizar o isolamento da estáção de trabalho e a rotação imediata de segredos de nuvem. As equipes de segurança devem aplicar as seguintes mitigações:
- Implementar controles de restrição de execução no sistema operacional para impedir o funcionamento de binários não assinados originários da pasta de Downloads do usuário.
- Instalar soluções de monitoramento de endpoint (EDR) focadas na análise comportamental de processosinhos no macOS para detectar anomalias na biblioteca do Terminal.
- Implantar soluções de proteção de extensões de navegador (Browser Security ou Extensões gerenciadas por TI) impedindo a modificação de Secure Preferences por fontes incomuns.
- Rotação emergencial e forçada de quaisquer chaves acessíveis a partir do contexto do usuário comprometido, focando em chaves SSH, credenciais AWS/Azure e variáveis de ambiente npm.
- Educar os usuários sobre a natureza do ataque ClickFix, esclarecendo que sistemas operacionais modernos não solicitam a colagem manual de comandos no aplicativo Terminal para atualização de software.
0 Comentários