Como funciona a técnica
O ClickFix tradicional instrui usuários a colar e executar um snippet (self‑infection). A novidade é que o snippet agora realiza uma consulta DNS TXT a um domínio controlado pelos atacantes e extrai o comando de estágio a partir do texto retornado — que, depois, é executado em memória via PowerShell.
Vantagens para o atacante
- DNS é frequentemente liberado sem inspeção profunda; assim, o tráfego malicioso se mistura ao ruído normal de resolução de nomes.
- Evita chamadas HTTP/HTTPS diretas para servidores maliciosos que poderiam ser bloqueados ou analisados por proxies/IPS.
- Facilita recuperação de estágios dinâmicos e reduz sinais em logs de rede tradicionais.
Impacto operacional
O objetivo final reportado continua sendo a implantação de trojans como Interlock ou outras cargas persistentes. A técnica aumenta a dificuldade de detecção por ferramentas que não analisam DNS em profundidade ou que não correlacionam consultas TXT com execução local de comandos.
Mitigações recomendadas
- Inspecionar e registrar consultas DNS TXT e correlacioná‑las com execuções de PowerShell nos endpoints.
- Bloquear domínios recém‑registrados e suspeitos, e implementar listas brancas DNS quando apropriado.
- Habilitar Script Block Logging do PowerShell e alertas para execuções que performam consultas DNS incomuns antes de baixar código.
- Educar usuários para nunca colar/colar‑e executar scripts instruídos por páginas web (ClickFix), e promover canais oficiais para correção de erros de site.
O que falta nos dados públicos
O briefing público da Unit 42 confirma o uso de TXT records para staging, mas não lista domínios específicos usados na campanha nem estatísticas de sucesso. Essas informações são essenciais para bloqueios mais cirúrgicos e para avaliar o risco em ambientes corporativos.