Descoberta e escopo
Pesquisadores do Internet Storm Center identificaram que a campanha, relatada originalmente em junho de 2024, evoluiu de páginas falsas de atualização de navegador para um mecanismo que exibe um CAPTCHA falso — um "verify you are human" — em sites comprometidos. O ataque é ativado por scripts maliciosos injetados nas páginas visitadas pelos alvos.
Vetor e técnica de execução
Ao clicar na caixa de verificação do CAPTCHA falso, o usuário passa a ter o conteúdo do clipboard sobrescrito com uma string de comando maliciosa. Essa string utiliza o utilitário mshta para buscar e executar código hospedado em servidores controlados pelos atacantes — segundo a análise do Internet Storm Center. As fontes explicam que o método prioriza engenharia social sobre exploração de vulnerabilidades no software, o que dificulta a detecção por controles tradicionais.
Persistência e payload
O pacote final instalado é o NetSupport RAT, ferramenta de acesso remoto que dá controle extensivo sobre a máquina infectada. A persistência é conseguida criando-se um atalho no Start Menu que executa um arquivo JavaScript armazenado em AppData\Local\Temp; esse JavaScript, por sua vez, lança o binário do RAT localizado em C:\ProgramData\. As matérias consultadas descrevem essa cadeia de persistência como robusta contra remediações simples de usuários comuns.
Impacto e recomendações
NetSupport RAT permite roubo de dados, monitoramento de atividade e implantação de malware adicional. As fontes ressaltam que a infraestrutura do SmartApeSG — domínios, C2 e pacotes maliciosos — muda quase diariamente, aumentando a necessidade de atualizações constantes de threat intelligence.
Medidas práticas para defesa
- Educar usuários sobre os riscos de interagir com caixas de verificação/CAPTCHA suspeitos em páginas inesperadas.
- Bloquear, em nível de rede, conexões para domínios associados à campanha e atualizar filtros de proxies/NGFW com indicadores fornecidos por ISACs e fornecedores de threat intelligence.
- Monitorar criação de atalhos no Start Menu, execução de mshta e scripts invocados a partir de AppData\Local\Temp como possíveis sinais de comprometimento.
- Aplicar controles de prevenção contra execução de comandos por clipboard e políticas de execução restritiva de mshta, quando compatível com o ambiente.
Limitações das informações
As publicações não trazem números de vítimas nem domínios-IoC listados em texto acessível nas matérias consultadas. Também não há, nas fontes usadas, atribuição a um ator específico além dos apelidos já conhecidos para a campanha. A análise do Internet Storm Center é a base das descrições técnicas disponíveis.
Equipes de SOC e threat intelligence devem priorizar a verificação de sinais comportamentais (mshta, atalhos do Start Menu, execução de JavaScript a partir de diretórios temporários) e coordenar bloqueios de infraestrutura quando IOCs confiáveis forem obtidos de feeds especializados.