O ClearFake expandiu uma fraude de CAPTCHA falsa em uma cadeia que rouba criptomoedas e credenciais enquanto desativa a proteção de endpoint. Ele transforma sites comprometidos em plataformas de lançamento, dependendo que visitantes executem um comando que parece rotineiro. A operação começa com código injetado no navegador, instruções hospedadas em blockchain e um prompt de verificação ClickFix estilizado como um CAPTCHA do Google.
descoberta e escopo
Analistas da Cisco Talos identificaram a atividade ao ver execução remota de biblioteca incomum em uma organização governamental ucraniana em abril de 2026. Eles avaliam que os ataques observados faziam parte de uma operação de roubo mais ampla, não uma campanha direcionada a essa organização. As consequências podem se estender além dos dados do navegador roubados. Uma instalação instala um seletor de criptomoedas que altera endereços de carteira copiados, enquanto outro pode fornecer controle remoto a um operador.
Isso dá aos atacantes uma rota de uma página enganosa para acesso persistente e roubo financeiro. No ramo do seletor de criptomoedas, o primeiro payload recebe instruções para buscar um arquivo. Um componente Chrome legítimo e assinado dentro desse arquivo é abusado para carregar uma biblioteca maliciosa colocada ao lado, uma técnica chamada DLL side-loading.
técnica de ataque e evasão
Aquele library lança o ZigCryptoStealer e um driver Windows assinado mas vulnerável. O loader procura produtos EDR e envia identificadores de processo correspondentes ao driver, que pode forçá-los a parar. Este é um ataque bring-your-own-vulnerable-driver, ou BYOVD. Um driver funciona profundamente dentro do Windows, então a morte de processo pode minar proteções que observam o dispositivo.
Com as defesas enfraquecidas, o ZigCryptoStealer monitora a área de transferência para endereços de criptomoedas. Ele pode substituir um endereço copiado por um controlado pelo atacante, potencialmente redirecionando um pagamento sem um aviso óbvio para a vítima. O malware também usa um contrato de blockchain para obter infraestrutura de comando e controle em mudança. Essa abordagem, conhecida como EtherHiding, permite que operadores atualizem onde o seletor se comunica sem alterar o código entregue a um computador infectado.
medidas de mitigação recomendadas
Organizações devem ensinar funcionários que verificações de CAPTCHA legítimas nunca exigem abrir Executar, Terminal, PowerShell ou Prompt de Comando e colar um comando. Equipes de segurança devem investigar tráfego WebDAV incomum, execução de rundll32 baseada em ordinal, serviços de driver inesperados e novas tarefas agendadas, e devem usar listas de bloqueio de driver e proteções de driver vulnerável.
Os indicadores de comprometimento incluem domínios RPC da BNB Smart Chain, contratos de blockchain, domínios WebDAV, nomes de arquivos como pf.ch e verification.google, e hashes SHA-256 de amostras maliciosas. Re-fang apenas dentro de plataformas de inteligência de ameaças controladas como MISP, VirusTotal ou seu SIEM.