By Paulinho Curti- em Cajamar NET
Microsoft emite alerta para vírus que rouba senhas no Chrome e Edge
Ameaça utiliza telas falsas de verificação para enganar usuários e extrair credenciais
A Microsoft divulgou, nesta quinta-feira (16), um alerta sobre o aumento significativo de ataques utilizando o malware ACR Stealer. Essa ameaça opera de forma discreta, roubando dados pessoais e profissionais, como senhas armazenadas em navegadores, tokens de autenticação e documentos confidenciais de empresas.
Em um comunicado emitido pela equipe de segurança da companhia, foi destacado que os criminosos intensificaram o uso de engenharia social entre o final de abril e meados de junho, utilizando técnicas de manipulação para infectar os computadores sem que as vítimas percebam a invasão.
A Microsoft recomenda que as equipes de segurança priorizem o monitoramento de iscas ClickFix, atividades suspeitas de WebDAV, execução de PowerShell ofuscado e tentativas de acesso a repositórios de credenciais armazenadas nos navegadores.
O método de invasão utilizado pelos cibercriminosos é conhecido como ClickFix. Esse golpe consiste na exibição de telas falsas de erro ou verificações de segurança em sites comprometidos, simulando avisos do sistema ou checagens para confirmar se o usuário é humano.
Ao seguir as instruções que pedem para copiar e executar um código no terminal do Windows (cmd ou PowerShell), a vítima acaba autorizando inadvertidamente o download e a instalação do malware em seu computador.
De acordo com a Microsoft, a campanha do ACR Stealer opera no modelo de "malware como serviço" (MaaS) e é uma evolução do antigo Amatera Stealer. Para invadir sistemas e burlar antivírus, são utilizadas duas estratégias principais: ferramentas nativas do Windows e esteganografia, técnica que oculta o código do vírus dentro dos pixels de imagens aparentemente inofensivas.
A primeira abordagem envolve o download de arquivos maliciosos mascarados em servidores remotos e a execução de códigos através de programas nativos, como o rundll32.exe. Os criminosos também utilizam redes de blockchain (técnica conhecida como EtherHiding) para ocultar o endereço do servidor que recebe os dados roubados, dificultando o bloqueio por sistemas de defesa.
Na esteganografia, o vírus se utiliza do utilitário MSHTA para esconder o código malicioso dentro de imagens comuns no formato JPEG disponíveis na internet. O programa baixa a imagem inofensiva e extrai o código diretamente na memória RAM, sem deixar vestígios no disco rígido.
Em ambas as abordagens, o malware é capaz de apagar o histórico de comandos digitados no PowerShell, alterar as datas dos arquivos para que pareçam antigos e criar tarefas agendadas falsas, garantindo sua continuidade mesmo após o reinício do computador. Uma vez consolidado no sistema, o ACR Stealer extrai e descriptografa informações salvas em navegadores baseados no Chromium, como Google Chrome e Microsoft Edge.
Os alvos do ataque incluem senhas e cookies de sessão armazenados, tokens de acesso e autenticação, documentos em PDF e arquivos do Microsoft 365 salvos nas pastas Área de Trabalho e Downloads, além de dados sincronizados em diretórios corporativos como OneDrive e SharePoint.
Para se proteger, a Microsoft enfatiza a importância de nunca copiar e executar comandos no terminal do Windows a partir de recomendações de sites da internet, mesmo que aleguem a necessidade de resolver um erro ou validar o acesso. Para empresas, recomenda-se restringir o uso de ferramentas como PowerShell, Python e mshta.exe a pastas não graváveis pelos usuários, além do bloqueio de domínios recém-criados ou de baixa reputação.
