Mensagem do BlockBeats: em 7 de agosto, a equipe de Threat Intelligence da Microsoft publicou um comunicado afirmando ter identificado um lote de sites comprometidos que usam ClickFix e TerminalFix para induzir ataques. Em conjunto com a tecnologia EtherHiding, eles acessam contratos inteligentes por meio de um gateway RPC da BNB Smart Chain para obter instruções maliciosas da próxima etapa. Como o conteúdo malicioso é armazenado em contratos inteligentes na cadeia, apenas o proprietário da carteira do contrato implantado consegue modificá-lo; portanto, é mais difícil removê-lo por métodos tradicionais como derrubada (take down) ou bloqueio (ban).

A Microsoft apontou que os atacantes podem falsificar páginas de verificação de CAPTCHA para induzir os usuários a abrir a janela “Executar” do Windows ou Terminal, PowerShell, colar e executar comandos maliciosos. Durante o ataque, são amplamente usados utilitários do sistema como conhost, PowerShell, mshta, rundll32, curl, WMI, WebDAV, etc., para ofuscação e para ataques do tipo “Living-off-the-Land” (aproveitar recursos locais).

A Microsoft afirmou que ClickFix e TerminalFix se tornaram vetores frequentes de invasão inicial, afetando diariamente milhares de dispositivos de empresas e indivíduos em todo o mundo. Eles têm sido usados por vários grupos de ataque para distribuir malwares como Lumma Stealer, Xworm, AsyncRAT, MintsLoader etc., e podem ainda levar a vazamento de credenciais, movimentação lateral e ataques de ransomware. A Microsoft recomenda que os usuários não colem nem executem quaisquer comandos na janela “Executar” do Windows, Terminal, PowerShell ou Prompt de Comando seguindo prompts de CAPTCHA, erros exibidos em páginas, e-mails ou anúncios.