Um novo serviço de cibercrime chamado ErrTraffic foi identificado automatizando ataques do tipo "ClickFix" por meio da geração de "fake glitches" em sites comprometidos, segundo reportagem de Bill Toulas no BleepingComputer.
Descoberta e escopo
De acordo com o relato de Bill Toulas, a ferramenta ErrTraffic permite que atores maliciosos automatizem "ClickFix attacks" ao criar supostos defeitos visuais — descritos na matéria como "fake glitches" — em páginas legítimas comprometidas. Esses eventos falsos são usados como isca para induzir usuários a seguir instruções maliciosas ou baixar payloads.
Vetor e exploração
O padrão descrito pelo veículo sugere um vetor baseado em comprometimento de sites com posterior manipulação da interface apresentada ao usuário: o visitante vê um glitch simulado e recebe instruções que parecem corrigir o problema, mas que na verdade conduzem à execução de código malicioso ou instalação de software indesejado. A reportagem refere-se explicitamente à automação desse processo pela ferramenta ErrTraffic, elevando a eficiência de ataques de engenharia social no navegador.
Evidências e limites do que se sabe
A matéria informa o nome da ferramenta e descreve o método principal — a geração de "fake glitches" —, mas não fornece, no item do RSS, detalhes técnicos completos sobre indicadores de comprometimento (IOCs), infraestrutura de comando e controle, escala da operação ou amostra de payloads. Também não há indicação pública, na fonte citada, de vítimas identificadas, número de sites comprometidos ou vínculo com grupos de ameaça conhecidos.
"ErrTraffic allows threat actors to automate ClickFix attacks by generating 'fake glitches' on compromised websites to lure users into downloading payloads or following malicious instructions" — Bill Toulas, BleepingComputer
Impacto e alcance plausível
Com base no princípio do ataque — exploração de confiança do usuário em interfaces web legítimas — o impacto potencial inclui a distribuição de infostealers, trojans e outros payloads direcionados a sessões de navegador e endpoints. A automação aumenta o risco de escala, mas a ausência de métricas públicas impede quantificar o alcance real. Sem IOCs ou listas de domínios comprometidos, a visibilidade por parte de equipes de defesa permanece limitada.
Recomendações operacionais para defensores
- Monitoramento de integridade de conteúdo: auditar e monitorar alterações não autorizadas em scripts e recursos web, incluindo verificações de integridade e assinaturas de entregas de conteúdo.
- Segurança de terceiros: reduzir e controlar o uso de scripts de terceiros em páginas sensíveis (checkouts, painéis, áreas autenticadas) e aplicar políticas rigorosas de revisão e escaneamento de dependências.
- Proteções no browser: instruir equipes de SOC/CSIRT sobre a natureza de iscas baseadas em interface e fornecer orientações de detecção para alertas de engenharia social que levam ao download de executáveis ou execução de macros.
- Filtragem e bloqueio: atualizar filtros de URL e sistemas de proteção web com quaisquer domínios ou assinaturas obtidas em investigações internas; segmentar e bloquear domínios suspeitos.
- Resposta a incidentes: tratar surtos como compromissos de site junto a equipes de desenvolvimento e hosting, removendo scripts adulterados e restaurando a origem a partir de backups confiáveis.
O que falta e próximos passos
A reportagem lista a existência e o comportamento central da ferramenta, mas carece de dados cruciais para avaliação técnica e operacional: IOCs, amostras de payload, estimativa de alcance, preços/funcionalidade do serviço (caso seja um modelo SaaS para criminosos) e possíveis conexões com campanhas conhecidas. Times de resposta e pesquisadores devem buscar a publicação completa do artigo pelo veículo, a liberação de IOCs pela fonte ou notificações de autoridades (CERTs) que possam corroborar e contextualizar a descoberta.
Enquanto não houver essas informações públicas adicionais, organizações devem assumir o modelo de ataque descrito como plausível e revisar controles de integridade do conteúdo web e treinamentos frente a vetores de engenharia social que exploram a interface do navegador.
Fonte: Bill Toulas, BleepingComputer.