Descoberta e escopo da campanha
Criminosos cibernéticos encontraram uma maneira nova e engenhosa de explorar a crescente popularidade de ferramentas de desenvolvimento de IA. Uma campanha identificada recentemente usa páginas falsas que imitam o Claude Code e o OpenAI Codex, hospedadas na infraestrutura confiável do Google Sites, para enganar usuários a executarem comandos que silenciosamente roubam suas credenciais e outros dados pessoais sensíveis de seus dispositivos.
O ataque segue uma técnica conhecida como ClickFix, onde as vítimas são mostradas o que parece ser uma página de configuração legítima e instruídas a executar um comando curto. Não há arquivo baixado no sentido tradicional. Em vez disso, toda a operação maliciosa é executada silenciosamente na memória, tornando muito mais difícil para as ferramentas de segurança padrão capturá-la em ação.
Analistas da ANY.RUN identificaram esta campanha ativa de ClickFix que imita ferramentas de IA populares, incluindo tanto Codex quanto Claude. O que torna esta campanha distinta é o quanto ela se mistura. Páginas do Google Sites carregam a confiança de um domínio legítimo do Google, e a maioria dos usuários não pensaria duas vezes antes de seguir instruções em tal página.
Impacto e alcance da ameaça
O impacto de tal ataque pode ser severo. Os dados roubados incluem senhas de navegador salvas, credenciais de e-mail e informações de carteiras de criptomoedas, tudo enviado para servidores controlados pelos atacantes. Desenvolvedores e profissionais que trabalham regularmente com ferramentas de codificação de IA estão em risco particular, pois são os mais propensos a seguir instruções de instalação de linha de comando sem hesitação.
A combinação de uma plataforma de hospedagem confiável, uma isca convincente e um payload totalmente na memória dá aos atacantes uma vantagem significativa sobre as pessoas que visam. A segurança tradicional baseada em arquivos falha aqui, pois não há arquivo malicioso para assinar ou analisar.
Vetor e exploração técnica
As vítimas são direcionadas para uma página do Google Sites projetada para parecer um guia de instalação legítimo do Claude Code ou Codex. Uma vez lá, elas são instruídas a executar um comando mshta, um utilitário nativo do Windows, para completar o processo de configuração. Essa única ação é tudo o que é necessário para iniciar toda a cadeia de ataque.
A partir daí, uma sequência PowerShell de múltiplos estágios começa a ser executada em segundo plano. Um dos elementos mais tecnicamente interessantes desta campanha é o uso de esteganografia, onde o payload malicioso é escondido dentro de um arquivo de imagem e extraído apenas em tempo de execução. Este shellcode é então implantado e executado inteiramente dentro de um processo PowerShell em execução, sem tocar no disco de uma maneira que os antivírus tradicionais sinalizariam.
A cadeia de execução move-se rápida e silenciosamente: a isca do Google Sites leva ao comando mshta, que dispara o staging do PowerShell, que então extrai um payload oculto de uma imagem e, finalmente, executa shellcode na memória antes de puxar dados do navegador, credenciais de e-mail e informações de carteiras e exfiltrar tudo para um servidor remoto controlado pelo atacante.
Medidas de mitigação recomendadas
Os pesquisadores de segurança recomendam tratar qualquer página da web que peça para você copiar e colar um comando com um alto nível de suspeita, mesmo que o site pareça oficial. Os usuários devem sempre verificar as instruções de instalação através da documentação oficial de uma ferramenta ou de seu repositório GitHub original, em vez de seguir prompts de resultados de pesquisa ou sites desconhecidos.
As organizações também devem implantar ferramentas de detecção de endpoint capazes de análise comportamental, que podem identificar atividade suspeita do PowerShell mesmo quando nenhum arquivo de malware tradicional é gravado no disco. A detecção comportamental é crucial para identificar atividades anômalas em processos legítimos como o PowerShell.
Indicadores de comprometimento (IoCs)
Os indicadores de comprometimento identificados nesta campanha incluem:
- URL: sites.google.com/view/clau-ver-un-24 (Página de isca do Google Sites que imita o instalador do Claude Code)
- Processo: mshta.exe (Utilitário do Windows abusado para iniciar a cadeia de ataque ClickFix)
- Processo: powershell.exe (Usado para entrega de payload de múltiplos estágios e execução de shellcode na memória)
- Tática: ClickFix via Google Sites (Isca de engenharia social direcionando vítimas a executar comando mshta)
Nota: Endereços IP e domínios são intencionalmente defanged para evitar resolução acidental. Re-fang apenas dentro de plataformas de inteligência de ameaças controladas.
O que os CISOs devem fazer imediatamente
Para equipes de segurança, a recomendação é monitorar o tráfego de saída de PowerShell e mshta.exe em busca de conexões incomuns. Implementar políticas de restrição de execução de scripts que impeçam a execução de comandos copiados e colados sem aprovação. Treinar desenvolvedores para verificar sempre a fonte de instruções de instalação e não confiar cegamente em páginas de busca ou e-mails.
Perguntas frequentes
Como saber se um comando é seguro? Nunca execute comandos de fontes não verificadas. Sempre consulte a documentação oficial.
O antivírus detecta isso? Antivírus tradicionais podem não detectar, pois não há arquivo. Ferramentas de detecção comportamental são necessárias.
O que fazer se já executei o comando? Desconecte-se da rede, analise o sistema em busca de atividades anômalas e altere todas as credenciais salvas.