Campanha ClickFix distribui RAT MIMICRAT com técnicas avançadas de evasão
Pesquisadores da Elastic Security Labs identificaram uma campanha de ameaça persistente avançada (APT) que utiliza uma técnica de engenharia social chamada "ClickFix" para distribuir um novo remote access trojan (RAT) personalizado, batizado de MIMICRAT. A operação compromete sites legítimos, como ferramentas financeiras, para servir como vetores de entrega, contornando controles de segurança tradicionais ao explorar a confiança do usuário em vez de vulnerabilidades de software.
Mecanismo de infecção e evasão
A sequência de ataque começa quando um usuário visita um site confiável que foi injetado com JavaScript malicioso. Um pop-up fraudulento de verificação do Cloudflare instrui a vítima a copiar e executar um comando PowerShell específico para "corrigir" um suposto erro do navegador. Essa tática "ClickFix" ignora as proteções de download baseadas no navegador. Após a execução inicial, um segundo script altamente ofuscado é baixado para desabilitar o Windows Event Tracing e a Antimalware Scan Interface (AMSI), cegando ferramentas de segurança. Um carregador baseado em Lua então decripta e executa o shellcode final do MIMICRAT inteiramente na memória do sistema, uma abordagem fileless que reduz a pegada forense.
Capacidades e persistência do MIMICRAT
O payload final, escrito em C++ nativo, é equipado com capacidades avançadas, incluindo roubo de tokens do Windows, manipulação do sistema de arquivos e tunelamento SOCKS5. Ele mantém persistência enquanto se comunica com servidores de comando e controle (C2) usando perfis HTTP maleáveis que se misturam perfeitamente com o tráfego legítimo de análise da web. Essa camuflagem sofisticada torna a identificação pelos defensores de rede excepcionalmente desafiadora. A campanha foi observada localizando iscas dinamicamente em 17 idiomas diferentes, visando múltiplos setores e geografias.
Recomendações de defesa
Para se defender contra essa ameaça, as organizações devem intensificar o treinamento de usuários para reconhecer prompts de verificação falsos do navegador e evitar colar comandos desconhecidos. As equipes de segurança devem aplicar políticas estritas de execução do PowerShell, monitorar linhas de comando ofuscadas e bloquear domínios maliciosos conhecidos. A inspeção do tráfego de rede em busca dos padrões de comunicação específicos do MIMICRAT também é crítica para interromper a cadeia de ataque antes da exfiltração de dados.