Um instalador falso do Spotify que esconde as instruções numa cadeia de blocos
Os instaladores são um alvo fácil. Ninguém os examina. Queria o Spotify, apareceu um ficheiro chamado Spotify, fez duplo clique e o Windows mostrou a caixa do costume a perguntar se tinha a certeza.
O Adversary Pursuit Group da Blackpoint publicou a 18 de setembro a análise de uma ferramenta de acesso remoto a que chamou ChainScript, encontrada enquanto desmontava uma campanha ClickFix. A cadeia começa numa daquelas páginas que mandam copiar qualquer coisa e executá-la, e acaba num instalador do Windows lançado através do msiexec.exe. Até agora surgiram quatro variantes. Duas delas, ComponentTask33 e UpdateDigital, apresentam-se como Spotify; o HostShared faz-se passar por Zoom Workplace e o OrchidViolet66 por Microsoft Teams. O instalador deixa em silêncio um ambiente Node.js e arranca um agente em JavaScript por trás de fases ocultas de PowerShell e VBScript.
A partir daí o operador tem uma linha de comandos e uma sessão de PowerShell na sua máquina, pode ler, escrever e apagar ficheiros, tirar fotografias do ambiente de trabalho, descarregar novas cargas e executar o JavaScript que quiser dentro do agente. Também vai à procura de carteiras de criptomoedas, tanto aplicações instaladas como extensões do navegador. O que os investigadores acham mais interessante é a forma como recebe ordens: em vez de um endereço fixo no código, o ChainScript consulta um contrato inteligente na cadeia Polygon para descobrir a que servidor se deve ligar. Bloquear um domínio não serve de nada, porque os operadores podem apontar o contrato para outro sítio e todas as máquinas infetadas seguem atrás.
A defesa contra tudo isto está no primeiro passo. Uma página web que lhe peça para colar um comando na caixa Executar ou num terminal para provar que é humano, reparar o vídeo ou terminar uma atualização está a mentir, sempre, sem exceção. E os programas gratuitos devem vir da empresa que os faz ou da Microsoft Store, não do primeiro resultado do motor de busca. A verificação de atualizações de aplicações do Tendvane passa pelo winget, por isso o Spotify, o Zoom e os restantes são obtidos a partir dos pacotes oficiais e não de algo encontrado por aí.