A WatchGuard Technologies emitiu um alerta sobre o avanço da campanha cibercriminosa ErrTraffic, que combina sites legítimos comprometidos, blockchain e engenharia social para distribuir malware e roubar credenciais corporativas.
Operada no modelo Malware-as-a-Service, a campanha explora sites WordPress vulneráveis ou acessados com credenciais administrativas roubadas. A infraestrutura utiliza a técnica EtherHiding para armazenar informações sobre servidores de comando e controle em contratos inteligentes na blockchain Polygon.
ErrTraffic usa blockchain para ocultar infraestrutura
Após comprometer um site, os atacantes inserem scripts capazes de consultar contratos inteligentes hospedados na blockchain. A partir dessas consultas, o código identifica o endereço do servidor de Comando e Controle (C2) utilizado na campanha.
A estratégia dificulta a interrupção da infraestrutura criminosa por mecanismos tradicionais de bloqueio baseados em endereços IP ou DNS. O uso da blockchain também permite que os atacantes alterem a infraestrutura de controle sem depender exclusivamente de domínios convencionais.
Engenharia social leva usuário a executar malware
A segunda etapa da campanha utiliza a técnica ClickFix. Ao acessar um site comprometido, a vítima pode visualizar uma janela que simula uma validação de reCAPTCHA, uma atualização do navegador ou um alerta de sistema.
A orientação exibida solicita que o usuário pressione Win + R, cole um conteúdo e confirme a execução. O comando, previamente inserido na área de transferência por meio do código malicioso, utiliza PowerShell para iniciar a próxima etapa do ataque.
A execução permite a instalação de infostealers, como Vidar e Stealc, capazes de coletar informações armazenadas no dispositivo.
Roubo de cookies amplia risco para empresas
Entre os principais alvos dos infostealers estão senhas armazenadas em navegadores, chaves de carteiras digitais e cookies de sessão.
O acesso a cookies ativos pode permitir o sequestro de sessões autenticadas, possibilitando que invasores acessem serviços corporativos, ambientes em nuvem, e-mails e VPNs sem necessariamente precisar obter a senha ou passar novamente pelo segundo fator de autenticação.
WatchGuard recomenda proteção em diferentes camadas
Para reduzir a exposição à campanha ErrTraffic, a WatchGuard recomenda combinar segurança de endpoint, proteção de rede e controles de identidade.
“A adoção do Watchguard Endpoint Security 360 permite monitorar e bloquear instâncias não autorizadas do PowerShell iniciadas por caixas de diálogo do sistema ou navegadores. No nível de rede, o uso do firewall WatchGuard Firebox com inspeção profunda de pacotes HTTPS e proteção DNS (DNSWatch) ajuda a barrar conexões com nós de blockchain suspeitos e domínios de baixa reputação”, explica Renato Marchi, Sales Engineer Manager LATAM da WatchGuard.
O executivo complementa, “Como o objetivo primário da ameaça é o roubo de dados de acesso, a implementação do WatchGuard AuthPoint MFA com validação de DNA do dispositivo garante que credenciais vazadas não permitam login a partir de computadores não autorizados”.
Além das tecnologias de proteção, a atualização de servidores WordPress e plugins, assim como a orientação de funcionários para não executar comandos recebidos por meio de páginas ou janelas suspeitas, são medidas importantes para reduzir o risco de infecção.
