Pesquisadores da Huntress descreveram uma campanha que combina engenharia social conhecida como ClickFix com técnicas esteganográficas para ocultar payloads maliciosos dentro de imagens PNG. A estratégia complexa foi documentada em relatório divulgado em dezembro de 2025.
Descoberta e escopo
Analistas da Huntress identificaram variantes da campanha desde outubro de 2025. O ataque evoluiu dos primeiros “Human Verification” para iscas que simulam telas de atualização do Windows, mais convincentes e capazes de induzir usuários a executar comandos via caixa "Executar" (Win+R).
Vetor e cadeia de execução
O vetor social instrui vítimas a abrir a caixa de executar e colar um comando que já foi copiado para a área de transferência. Esse comando inicia um mshta.exe contendo um endereço IP codificado em hexadecimal no segundo octeto, que por sua vez dispara um loader em PowerShell.
O loader decodifica dinamicamente e carrega, em memória, um assembly .NET que atua como carregador esteganográfico. O assembly extrai shellcode embutido em um recurso manifest dentro de uma imagem PNG — não por anexação tradicional, mas por codificação dentro dos dados de pixel.
Detalhes técnicos da esteganografia
Segundo a análise, o algoritmo personalizado usa canais de cor (com ênfase no canal vermelho) para reconstruir e descriptografar os bytes do shellcode completamente em memória. O processo calcula offsets por linha e coluna do bitmap e realiza uma operação XOR (valor 114) nos valores do canal vermelho para recuperar bytes cifrados.
O shellcode extraído é empacotado com Donut, permitindo execução in‑memory de assemblies .NET sem escrita direta de binários no disco. As cargas finais observadas incluem stealer/implantadores como LummaC2 e Rhadamanthys, direcionados a coleta de credenciais e dados financeiros.
Evasão e limitações
- A técnica evita estruturas de arquivo tradicionais usadas por malwares e complica a detecção baseada em assinaturas.
- Apesar da sofisticação, a campanha depende de sucesso em engenharia social — usuários precisam executar comandos manualmente, oferecendo um ponto de mitigação plausível.
Mitigações práticas
O relatório recomenda priorizar treinamento de usuários para resistir a lures que solicitam execução de comandos manuais. Medidas técnicas sugeridas incluem restringir o uso do mshta.exe e considerar desabilitar a caixa "Executar" via políticas de grupo ou alterações no registro quando apropriado para o ambiente.
O que falta e recomendações para equipes de defesa
Não há, na notícia consultada, amostras públicas completas de IOCs ou artefatos de rede que permitam automação imediata na detecção. Equipes de resposta devem monitorar comportamentos anômalos de mshta/PowerShell, inspecionar imagens empregadas por aplicações e integrar regras de proteção endpoint para bloquear carregadores em memória e uso de Donut.
Conclusão
A combinação de iscas convincentes com esteganografia em pixel data representa um avanço na evasão operacional. A defesa efetiva aqui requer coordenação entre conscientização do usuário, bloqueios de execução e monitoramento de comportamentos em memória.