Pesquisadores relataram uma nova campanha que combina a técnica conhecida como ClickFix com um falso prompt de CAPTCHA e um script App‑V assinado pela Microsoft para entregar o infostealer Amatera.
Descoberta e escopo
De acordo com o relatório, atacantes misturam o método ClickFix com um falso CAPTCHA para induzir vítimas a executar um pacote. O componente final da cadeia de ataque é um script do Microsoft Application Virtualization (App‑V) assinado, usado para instalar o malware Amatera, classificado como infostealer.
Vetor e exploração
O vetor de engenharia social descrito envolve um mecanismo de interação (falso CAPTCHA) que leva o usuário a acionar a execução. A novidade reportada é o uso de um script App‑V assinado — assinaturas válidas podem aumentar a confiança do sistema/usuário na legitimidade do artefato e dificultar bloqueios baseados em assinatura por algumas detecções.
Evidências e limites
- Relato público indica uso combinado de ClickFix + falso CAPTCHA + App‑V assinado para entregar Amatera.
- O material consultado não detalha volumes de ataques, setores geográficos afetados nem métodos de distribuição iniciais (por exemplo, campanhas de malspam, malvertising ou comprometimento de sites específicos).
- Também não foram publicados, no sumário consultado, indicadores de comprometimento (IoCs) ou hashes que permitam bloqueio imediato em massa sem acesso ao relatório técnico completo.
Impacto potencial
Amatera é descrito como um infostealer; infostealers coletam credenciais e dados de interesse que podem levar a fraudes, movimentação lateral e perda de propriedade intelectual. O uso de um artefato assinado amplia a capacidade do atacante de vencer controles automatizados e, potencialmente, reduzir suspeitas por usuários/administradores ao instalar o payload.
Recomendações práticas
- Reforçar políticas de execução de código: restringir execução de pacotes App‑V somente a fontes de confiança estritas e monitorar processos de assinatura atípicos.
- Treinamento de conscientização: alertar equipes sobre iscas que simulam CAPTCHAs e instruções legítimas, reforçando procedimentos de verificação.
- Segmentação e detecção: aplicar telemetria para identificar execuções incomuns de App‑V e correlacionar com originadores de tráfego e eventos de autenticação.
- Buscar o relatório técnico completo e IoCs do pesquisador para aplicação em ferramentas EDR, proxies e bloqueadores de conteúdo.
O que falta
O sumário público não traz métricas de alcance (número de vítimas), alvos setoriais ou confirmações de exploração em ambientes corporativos. Também faltam detalhes sobre o processo de assinatura do App‑V (se a assinatura foi legítima e comprometida, ou fraudulenta) — informação crítica para ajustar controles.
Resumo: pesquisadores identificaram uma campanha que combina ClickFix, falso CAPTCHA e scripts App‑V assinados para distribuir o infostealer Amatera. Apesar do método de entrega e do artefato final estarem descritos, faltam IoCs e dados de alcance; equipes de segurança devem priorizar obtenção do relatório técnico e revisar controles de execução de pacotes App‑V.