Alerta da Microsoft: falso Captcha abre portas para invasão de redes corporativas
A Microsoft emitiu um alerta global sobre uma nova e sofisticada campanha de ataques virtuais, batizada de TerminalFix. O golpe utiliza falsos testes de verificação humana, que imitam a interface da Cloudflare, para enganar funcionários e invadir computadores corporativos. A tática visa estabelecer um canal secreto de acesso direto às redes internas das organizações, representando uma séria ameaça à cibersegurança.
Segundo a equipe de pesquisa da gigante da tecnologia, o objetivo principal dos criminosos é criar uma ponte de controle remoto permanente nas máquinas das vítimas. Essa porta de entrada permite que os invasores se movimentem de forma sigilosa pela estrutura interna das empresas, roubem credenciais de administradores e preparem o terreno para ataques de sequestro digital de dados, conhecidos como ransomware.
A Evolução do Golpe: De ClickFix a TerminalFix
A abordagem da campanha TerminalFix é uma evolução de um golpe de engenharia social já conhecido no mercado de segurança como “ClickFix”. Diferente de ataques que exploram falhas automáticas nos sistemas operacionais, este método depende diretamente de uma ação da vítima, tornando-o particularmente insidioso.
O processo começa quando o usuário acessa uma página comprometida na internet e se depara com uma janela que exige a confirmação de que ele não é um robô. Ao clicar no botão de confirmação, a página simula o carregamento da checagem, mas, de maneira oculta, copia uma linha de comando maliciosa para a área de transferência do computador.
Em seguida, o site exibe instruções que pedem ao funcionário que abra o terminal de comandos do Windows e cole o texto copiado para “concluir a verificação”. Essa manobra foi cuidadosamente elaborada para contornar bloqueios comuns de segurança, conforme detalhado no relatório da Microsoft.
Mecanismos de Invasão e Persistência Sofisticados
Para não levantar suspeitas imediatas, o comando colado na tela limpa a janela do terminal e exibe avisos falsos com letras verdes e azuis, como a frase “Eu não sou um robô”, imitando um processo oficial de validação. Enquanto essa mensagem amigável é exibida, o sistema inicia em segundo plano o download de arquivos compactados.
Entre esses arquivos, há um programa legítimo e assinado pelo Windows, que é ativado pelos criminosos junto a um arquivo corrompido. O sistema operacional prioriza a execução dos arquivos daquela pasta, acabando por rodar o código malicioso sem emitir os alertas de perigo usuais, um método que burla as defesas tradicionais.
O esquema também se destaca pelo uso da esteganografia, uma técnica que esconde códigos e instruções dentro de arquivos comuns de imagem. O vírus baixa três figuras em formato PNG de servidores remotos. Embora pareçam imagens inofensivas, o código oculto nos pixels é lido pelo malware para reconstruir módulos espiões diretamente no disco rígido da máquina.
Com o sistema infectado, o programa garante sua persistência, permanecendo ativo mesmo após reinicializações, com tarefas agendadas para rodar a cada 60 minutos. A partir desse ponto, inicia-se uma varredura minuciosa por bancos de dados, servidores de backup, credenciais de contas corporativas e computadores de alta prioridade, buscando informações valiosas.
O Túnel Reverso e a Ameaça do Ransomware
A fase final do ataque envolve a instalação de um túnel reverso, que estabelece uma conexão contínua entre a máquina da empresa e o servidor dos criminosos. Essa conexão simula o tráfego comum de navegação na web por meio de criptografia, o que dificulta significativamente a detecção por firewalls corporativos.
Como o invasor opera a partir de dentro da rede corporativa, ele consegue alcançar qualquer servidor acessível por aquele computador, ganhando um ponto de apoio estratégico. A Microsoft destacou que, embora não tenha observado ações diretas de operadores humanos durante a coleta dos dados técnicos, o perigo latente da invasão é imenso.
“Organizações devem tratar os dispositivos afetados como potenciais pontos de apoio na rede e investigar a ocorrência de movimentação lateral e exposição de credenciais. Na fase de operação manual que tipicamente se segue, atacantes usam esse acesso para elevar privilégios, desativar controles de segurança, extrair dados confidenciais e implantar ransomware em toda a empresa”, alertou a companhia, ressaltando a gravidade da situação.
Recomendações Essenciais para a Proteção Corporativa
Para conter incidentes do tipo e fortalecer a cibersegurança, a Microsoft recomenda que as equipes de suporte técnico e segurança restrinjam a permissão de usuários comuns para executar linhas de comando no Windows. Essa medida preventiva pode dificultar a execução de comandos maliciosos.
Os pesquisadores orientam ainda o treinamento preventivo de equipes contra instruções de sites que peçam atalhos do teclado, educando os funcionários sobre os riscos da engenharia social. Além disso, a redefinição imediata de senhas administrativas é crucial caso algum dispositivo da rede apresente sinais de infecção, minimizando o acesso dos invasores.
Você encontra mais notícias em nosso site www.sobralonline.com.br e redes sociais. Siga-nos em @SobralOnline para ficar por dentro de tudo!
