Um ator de ameaças recém-identificado chamado DriveSurge tem comprometido silenciosamente milhares de sites legítimos para enviar malware para visitantes desprevenidos. Utilizando uma combinação de páginas de atualização de navegador falsas e uma técnica de engenharia social conhecida como ClickFix, essa operação operou amplamente indetectada até agora.
Como funciona a infraestrutura de distribuição
O DriveSurge funciona injetando código malicioso em sites legítimos de alta reputação sem o conhecimento dos proprietários ou visitantes. Quando alguém visita um desses sites comprometidos, o código oculto os roteia silenciosamente por um Sistema de Distribuição de Tráfego (TDS). Este sistema perfila cada visitante e decide o que servir a seguir, tornando o ataque natural e altamente direcionado ao mesmo tempo.
Os pesquisadores da Silent Push identificaram o DriveSurge como o principal motor por trás de um aumento massivo em campanhas de ClickFix e Atualização Falsa na web. O grupo opera como um Corretor de Acesso Inicial especializado usando um modelo de Pagamento por Instalação, onde o pagamento é coletado a cada vez que um dispositivo de vítima é infectado com sucesso.
Métodos de engenharia social e entrega de malware
O DriveSurge implementa dois métodos principais para enganar os usuários. No cenário de Atualização Falsa, um site comprometido exibe um prompt convincente de atualização de navegador que impersona um navegador bem conhecido. Clicar no botão de atualização dispara o download de um arquivo ZIP contendo DLLs e um arquivo "Browser Update.exe" que é na verdade malware.
O método ClickFix funciona de maneira diferente. Uma mensagem de erro falsa instrui a vítima a copiar e colar um comando em sua janela de terminal ou PowerShell, que então instala malware silenciosamente. Em um caso confirmado, o prompt ClickFix tentou puxar código malicioso de um endereço IP já sinalizado em feeds de inteligência de ameaças ativas.
Alvos e alcance da campanha
A campanha visa uma ampla gama de navegadores, incluindo Google Chrome, Mozilla Firefox, Microsoft Edge, Safari, Opera, Brave, Yandex, Vivaldi, Samsung Internet e UC Browser. A infraestrutura zTDS subjacente usa técnicas de ofuscação, incluindo codificação Base64 e manipulação de strings, para esconder código de redirecionamento malicioso.
Um mecanismo de failover alterna entre vários servidores de backup para garantir que o payload alcance a vítima mesmo se um domínio de entrega cair. Os pesquisadores confirmaram que o TDS tem estado em uso ativo desde pelo menos 2022.
Análise técnica das ferramentas maliciosas
A análise de arquivos JavaScript ofuscados vinculados ao DriveSurge revelou que a cadeia de ataque não visa apenas máquinas Windows. Um payload analisado entregou malware macOS, mostrando que o DriveSurge está construindo ativamente um pool de vítimas de plataforma cruzada. O payload usou um comando de shell de múltiplas etapas que baixou um arquivo secundário, executou-o e depois se excluiu imediatamente para reduzir rastros forenses.
Os pesquisadores também descobriram um Sistema de Distribuição de Anúncios separado vinculado à campanha. Este sistema coleta metadados de dispositivos e usa sinais comportamentais como movimentos do mouse, rolagens e cliques para confirmar a presença humana antes de entregar conteúdo.
Indicadores de comprometimento (IoCs)
Os indicadores incluem domínios maliciosos como beacontrace[.]bond e jclforwarding[.]com, endereços IP de servidores C2 e hashes SHA256 de arquivos ZIP e payloads macOS. Arquivos como t.js e Browser Update.exe foram identificados como componentes chave da entrega de malware.
Mitigação e monitoramento
As organizações são aconselhadas a monitorar injecções de JavaScript externo incomuns, auditar scripts de terceiros carregados de domínios não reconhecidos e garantir que sistemas de gerenciamento de conteúdo voltados para a web permaneçam totalmente patchados e controlados por acesso.