Uma nova campanha de botnet trojan, batizada de OCRFix, foi descoberta combinando técnicas de engenharia social com infraestrutura de comando e controle (C2) baseada em blockchain para construir silenciosamente uma rede de máquinas comprometidas. A campanha mescla a conhecida técnica de phishing ClickFix com o método EtherHiding, que armazena instruções do atacante diretamente em uma blockchain pública, tornando a desativação quase impossível.
Vetor de ataque e engano inicial
O ataque começa com um site de typosquatting que imita tesseract-ocr[.]com, uma falsificação convincente da ferramenta legítima de código aberto de Reconhecimento Óptico de Caracteres (OCR), Tesseract. Como o projeto real do Tesseract é hospedado no GitHub e não possui um site próprio, tornou-se um alvo fácil para a falsificação de domínio. Além do tradicional envenenamento de SEO, a campanha também empregou envenenamento de LLM, onde o chatbot ChatGPT foi observado recomendando ativamente o site malicioso a usuários desavisados.
Analistas da Cyjax, que identificaram a campanha, observaram que o site de phishing cumprimentava os visitantes com um prompt falso de CAPTCHA. Ao clicar para "verificar", um comando PowerShell altamente ofuscado era copiado silenciosamente para a área de transferência do usuário. A página então instruía o usuário a abrir o Windows PowerShell e colá-lo, apresentando isso como uma etapa normal de verificação. Na realidade, o comando se decodificava e se conectava a um servidor malicioso para baixar um arquivo MSI que iniciava a cadeia de infecção.
Arquitetura em três estágios e persistência
Uma vez executado, o malware é implantado em três estágios. O primeiro, Update1.exe, atua como um loader – ele consulta um contrato inteligente na BNB TestNet para obter o endereço do C2, então baixa e descompacta um pacote data.zip de servidores controlados pelos atacantes.
O segundo estágio, setup_helper.exe, lida com a persistência criando uma tarefa agendada que executa a carga final a cada minuto no mais alto nível de privilégio, enquanto também adiciona caminhos de exclusão para burlar o Windows Defender. O terceiro estágio, CfgHelper.exe, é o listener do bot – ele coleta o endereço IP da vítima, nome do SO, nome do dispositivo e identificadores únicos, e envia esses dados para um painel de controle do bot.
EtherHiding: Blockchain como canal de comando
A parte tecnicamente mais distinta do OCRFix é o uso do EtherHiding para armazenar endereços de C2. Em vez de apontar o malware para um servidor tradicional que as equipes de segurança podem bloquear, os atacantes incorporaram suas URLs de C2 dentro de contratos inteligentes na BNB Smart Chain TestNet. Três endereços de contrato separados foram identificados durante a análise.
Quando cada estágio do malware precisava de sua próxima instrução, ele consultava o nó público da blockchain para recuperar a URL armazenada. Como a própria blockchain não pode ser derrubada, o atacante pode atualizar o endereço do C2 a qualquer momento modificando a variável armazenada no contrato. Esta técnica foi previamente vinculada a atores de ameaça norte-coreanos, e seu aparecimento aqui sinaliza uma adoção mais ampla por outros grupos.
Recomendações de defesa
Organizações devem restringir a execução do PowerShell apenas para quem precisa, com registro de bloco de scripts habilitado para detectar comandos ofuscados. O treinamento de conscientização em segurança deve abordar prompts falsos de CAPTCHA no estilo ClickFix. Ferramentas de endpoint devem sinalizar consultas WMI incomuns e criação inesperada de tarefas agendadas com alto privilégio. As equipes de rede devem monitorar conexões de saída para nós públicos de blockchain, que não têm propósito comercial legítimo na maioria dos ambientes.