Novo malware modular utiliza engenharia social para acesso inicial
Uma nova operação de malware está utilizando páginas ClickFix para enganar usuários do Windows e fazê-los executar comandos maliciosos diretamente em seus sistemas. A campanha entrega o TELEPUZ, um malware de acesso remoto leve, mas capaz, que pode receber dezenas de instruções de seus operadores. O ataque começa com uma página de verificação falsa que solicita que o visitante copie e execute um comando, um padrão familiar em campanhas de malware ClickFix que transformam ações do usuário em acesso inicial.
Arquitetura e funcionalidades do TELEPUZ
O TELEPUZ foi projetado para permanecer pequeno inicialmente, baixando recursos extras quando necessário. Essa abordagem permite que os operadores adicionem funções de roubo de informações, registro de teclas, manipulação de navegador e outras capacidades sem colocar todas as funcionalidades no arquivo inicial. O malware se comunica com seu servidor de comando e controle (C2) através de WebSockets, usando um protocolo baseado em JSON para trocar informações e receber tarefas.
Comandos remotos e controle do atacante
Os 36 comandos disponíveis dão aos atacantes amplo controle sobre um dispositivo infectado. Eles incluem opções para executar comandos, listar arquivos e processos, tirar capturas de tela, fazer upload de dados, criar arquivos ZIP, excluir arquivos, alterar o intervalo de beacon, atualizar o malware e encerrar trabalhos. Vários comandos são construídos para roubo de credenciais e intrusão subsequente, permitindo que o TELEPUZ recupere um módulo stealer, inicie um keylogger, extraia cookies do navegador Chromium e execute arquivos executáveis dentro de processos ocos.
Evasão e técnicas de persistência
Antes de iniciar a atividade normal, o TELEPUZ verifica se está sendo executado em uma máquina virtual, sandbox, depurador ou em uma região geográfica excluída. Ele também usa strings criptografadas, consultas de API dinâmicas, chamadas de sistema indiretas e patches projetados para enfraquecer a varredura antimalware do Windows e o rastreamento de eventos. Para persistência, o malware pode copiar-se de pastas temporárias, relançar através do rundll32.exe, contornar o Controle de Conta de Usuário (UAC), roubar tokens de acesso de maior privilégio e registrar um serviço do Windows.
Evidências e limites da campanha
Segundo a Elastic, o TELEPUZ tem estado ativo desde o final de abril de 2026 e parece estar se desenvolvendo rapidamente. Os pesquisadores observaram uploads regulares de novas builds e um aumento acentuado na atividade desde o início de junho, sugerindo que a operação está se expandindo. O malware também inclui um módulo de injeção web que pode interagir com navegadores baseados em Chromium e Firefox, usando interfaces de depuração de navegador para interceptar páginas e executar JavaScript.
Medidas de mitigação recomendadas
As organizações devem treinar os usuários para nunca colar comandos de prompts de navegador nas janelas Run, Prompt de Comando ou PowerShell. As equipes também devem monitorar atividades incomuns do PowerShell e do rundll32.exe, bloquear indicadores listados, usar filtragem DNS e web, e isolar endpoints suspeitos rapidamente. As equipes de segurança devem tratar o roubo de sessão do navegador como prioridade após uma infecção confirmada, resetando senhas expostas e revogando sessões ativas.
Indicadores de comprometimento (IoCs)
Os indicadores incluem URLs de download de segunda etapa, hashes SHA-256 para variantes VIDAR Go e stagers do TELEPUZ, domínios de hospedagem de payload e arquivos executáveis como install.exe e telepuz.dll. Os domínios de staging incluem variações como chubrik[.]sbs, betalegenda[.]cfd e hardendom[.]shop. Endpoints devem ser monitorados para tráfego de saída WebSocket incomum e downloads de módulos suspeitos.
O que os CISOs devem fazer imediatamente
Atualizar as regras de detecção de SIEM para incluir os novos IoCs fornecidos. Implementar restrições de aplicação de software para impedir a execução de comandos copiados e colados sem aprovação. Revisar logs de autenticação e atividade de rede para identificar conexões para os domínios de C2 listados. Realizar varreduras de endpoint para detectar os artefatos de persistência mencionados, como AppData.dll e ProgramData.dll.