Sites Comprometidos Usam Cloudflare Falso para Roubar Dados

O cenário de ameaças digitais acaba de ganhar um novo capítulo preocupante. De acordo com o CERT-UA (Computer Emergency Response Team of Ukraine), mais de 100 sites comprometidos estão sendo utilizados para distribuir um malware de roubo de informações chamado LunexStealer (também conhecido como Psychedelic Stealer). A campanha, atribuída ao grupo UAC-0277, emprega uma técnica engenhosa: exibe uma página falsa de verificação da Cloudflare que induz o usuário a executar um comando malicioso. Esse vetor de ataque, conhecido como ClickFix, tem se mostrado eficaz para contornar as defesas tradicionais e comprometer sistemas Windows.

A descoberta, divulgada em outubro de 2026, acende um alerta para empresas e indivíduos que dependem da web para operações diárias. A sofisticação do ataque reside na combinação de múltiplas técnicas avançadas, incluindo o uso de contratos inteligentes na blockchain para ocultar a infraestrutura de comando e controle (C2), uma prática conhecida como EtherHiding. Isso dificulta a remoção dos domínios maliciosos e prolonga a vida útil da campanha.

Anatomia do Ataque: Do ClickFix ao Roubo de Dados

A cadeia de infecção começa quando um usuário acessa um site legítimo que foi comprometido. O JavaScript injetado verifica se o visitante atende a certos critérios: sistema operacional Windows, origem de mecanismos de busca e um limite de duas exibições por 12 horas. Se as condições forem satisfeitas, a vítima é apresentada a uma página que imita a verificação de humanidade da Cloudflare. A mensagem instrui o usuário a pressionar Win+R, colar um comando e executá-lo. Esse simples ato baixa e instala um pacote MSI malicioso a partir de um servidor remoto.

O CERT-UA identificou três variantes do pacote MSI, cada uma com um grau crescente de sofisticação:

• Variante 1: Instala diretamente o LunexStealer no sistema.
• Variante 2: Tenta contornar o UAC, configura exclusões no Microsoft Defender e explora o driver vulnerável PDFWKRNL.sys (da AMD) para cegar o software de segurança antes de baixar o stealer.
• Variante 3: Usa DLL sideloading com o binário legítimo FnHotkeyUtility.exe para carregar uma DLL maliciosa (spkvol.dll) que descriptografa e executa o payload.

Essa diversidade de vetores demonstra a capacidade de adaptação dos atacantes, que buscam maximizar a taxa de sucesso da infecção mesmo em ambientes com controles de segurança básicos.

LunexStealer e o Ecossistema LUNARAXE: Um Ataque em Camadas

O LunexStealer não atua sozinho. Após a instalação inicial, ele se conecta a um servidor C2 e recebe configurações adicionais. Uma das cargas mais notáveis é a extensão de navegador LUNARAXE, disfarçada como "Microsoft Office Word Editor". Essa extensão é uma ferramenta poderosa nas mãos dos criminosos, capaz de:

• Roubar cookies, histórico de navegação e credenciais inseridas em formulários web.
• Permitir o controle remoto do navegador, incluindo a execução de JavaScript arbitrário em qualquer página.
• Exibir overlays falsos para capturar informações sensíveis, como dados de login bancário.

Além disso, um componente auxiliar chamado NAIVEMESS pode ser instalado para fornecer à extensão acesso ao sistema de arquivos do Windows via PowerShell. Isso permite que os atacantes naveguem por diretórios, leiam, criem e sobrescrevam arquivos, e até executem programas remotamente. A transferência de arquivos é feita em blocos codificados em Base64, com diretórios compactados em ZIP para exfiltração eficiente.

O LUNARAXE é modular, com três componentes principais:

• LUNARAXE.CORE: Gerencia a comunicação C2, executa comandos e exfiltra dados do navegador (cookies, histórico, favoritos, extensões instaladas e credenciais interceptadas). Também pode gerenciar abas, ativar/desativar extensões, exibir notificações e executar JavaScript.
• LUNARAXE.STEALER: Captura credenciais inseridas em formulários web e as envia ao CORE junto com a URL da página.
• LUNARAXE.STRIP: Remove os headers de Content Security Policy (CSP) das respostas HTTP, enfraquecendo as defesas do site e permitindo a execução de scripts arbitrários.

Essa arquitetura modular torna o LunexStealer uma ameaça versátil, capaz de se adaptar a diferentes alvos e objetivos, desde espionagem corporativa até fraude financeira.

Indicadores de Comprometimento (IOCs) e Vetores de Infecção

Para auxiliar equipes de segurança na detecção e resposta, compilamos uma tabela com os principais indicadores de comprometimento associados a essa campanha, conforme divulgado pelo CERT-UA e por pesquisadores independentes.

É importante ressaltar que os hashes específicos dos arquivos não foram divulgados publicamente para evitar falsos positivos. No entanto, a presença de qualquer um dos comportamentos descritos acima deve ser tratada como suspeita e investigada imediatamente.

O Elo com Vazamento de Senha Reutilizada: Um Risco Ampliado

Um aspecto frequentemente subestimado em campanhas de malware como essa é a interação com senhas reutilizadas. O LunexStealer, ao roubar credenciais de navegadores e formulários web, pode capturar senhas que o usuário utiliza em múltiplos serviços. Se uma dessas senhas já vazou em um incidente anterior e foi reutilizada, o impacto é exponencial.

Imagine o seguinte cenário: um funcionário de uma empresa tem sua senha pessoal comprometida em um vazamento de dados de um site de comércio eletrônico. Ele reutiliza essa mesma senha para acessar o e-mail corporativo e o sistema de CRM. Quando o LunexStealer rouba as credenciais salvas no navegador, o atacante obtém acesso imediato a esses serviços, sem precisar de nenhuma exploração adicional. A partir daí, pode-se iniciar um ataque de credential stuffing em escala, comprometendo ainda mais contas e dados sensíveis.

Esse vetor é particularmente perigoso porque a vítima muitas vezes não percebe que sua senha foi reutilizada. A falsa sensação de segurança de ter uma senha "forte" (com caracteres especiais, números, etc.) leva à complacência. No entanto, a reutilização anula qualquer benefício de complexidade, pois basta um único vazamento para expor todas as contas que compartilham aquela credencial.

Como Mitigar o Risco de Senhas Reutilizadas

Para reduzir a exposição a esse tipo de ataque, é fundamental adotar práticas robustas de gerenciamento de identidades:

• Use um gerenciador de senhas: Ferramentas como Bitwarden, 1Password ou KeePass geram senhas únicas e aleatórias para cada serviço, eliminando a necessidade de memorizá-las.
• Ative a autenticação de dois fatores (2FA): Mesmo que a senha seja comprometida, o segundo fator (como um código de aplicativo ou chave de segurança) impede o acesso não autorizado.
• Monitore vazamentos de dados: Serviços de monitoramento contínuo, como o oferecido pela Kzarka, alertam quando suas credenciais aparecem em bases de dados vazadas, permitindo uma troca proativa de senha.
• Eduque os usuários: Campanhas de conscientização sobre os riscos de reutilização e phishing são essenciais para criar uma cultura de segurança.

Resposta a Incidentes e Proteção Corporativa

Diante de uma ameaça tão sofisticada, as organizações precisam ir além das medidas reativas. A resposta a incidentes deve ser planejada e testada regularmente. Recomenda-se:

• Restringir o uso do prompt de comando (Win+R): Por meio de políticas de grupo, bloqueie o acesso ao diálogo Executar para usuários comuns, reduzindo a superfície de ataque do ClickFix.
• Limitar a instalação de pacotes MSI: Exija privilégios de administrador para qualquer instalação de software, impedindo que malwares se instalem silenciosamente.
• Monitorar a execução de msiexec.exe: Qualquer execução não autorizada desse processo deve gerar um alerta imediato no SIEM.
• Habilitar o bloqueio de drivers vulneráveis: A Microsoft mantém uma lista de drivers com vulnerabilidades conhecidas que podem ser exploradas. Ative o recurso "Microsoft Vulnerable Driver Blocklist" e a regra ASR "Block abuse of exploited vulnerable signed drivers".
• Restringir extensões de navegador: Implemente uma política de allowlist para extensões, impedindo a instalação de complementos maliciosos como o LUNARAXE.

Além disso, é crucial integrar a inteligência de ameaças ao processo de detecção. Assine feeds de IOCs de fontes confiáveis e configure seus sistemas de segurança para bloquear proativamente os indicadores associados a essa campanha.

Para os indivíduos, a recomendação é redobrar a atenção a qualquer solicitação inesperada de verificação, especialmente aquelas que pedem para executar comandos. Desconfie de páginas que imitam marcas conhecidas, como Cloudflare, e verifique sempre a URL na barra de endereços. Em caso de dúvida, feche a página e acesse o site diretamente.

FAQ: Perguntas Frequentes sobre o LunexStealer e a Campanha ClickFix

1. O que é o LunexStealer?
O LunexStealer é um malware de roubo de informações (infostealer) que se instala silenciosamente no sistema Windows. Ele é capaz de roubar cookies, histórico de navegação, credenciais salvas e dados de formulários web, além de permitir o controle remoto do navegador por meio da extensão LUNARAXE.

2. Como sei se fui infectado pelo LunexStealer?
Os sintomas podem ser sutis, mas incluem lentidão incomum do sistema, extensões de navegador desconhecidas (como "Microsoft Office Word Editor"), exclusões no Microsoft Defender e tráfego de rede suspeito para domínios não reconhecidos. A melhor forma de confirmar é executar uma varredura completa com um antivírus atualizado e verificar os logs de segurança.

3. A falsa verificação da Cloudflare é fácil de identificar?
Sim, com atenção. A página falsa instrui o usuário a pressionar Win+R, colar um comando e executá-lo. A Cloudflare legítima nunca solicita que você execute comandos no seu sistema. A verificação real é automática e não requer interação além de, no máximo, clicar em uma caixa de seleção.

4. Qual a relação entre essa campanha e vazamentos de dados?
O LunexStealer rouba credenciais que podem já ter vazado em incidentes anteriores. Se você reutiliza senhas, o malware pode capturar uma senha que já é conhecida por criminosos, facilitando o acesso a outras contas. Por isso, é essencial usar senhas únicas e monitorar vazamentos.

5. Como a Kzarka pode ajudar a proteger minha identidade digital?
A Kzarka oferece monitoramento contínuo de vazamentos de dados e alertas em tempo real quando suas informações pessoais (como e-mail, CPF ou número de telefone) aparecem em bases de dados comprometidas. Além disso, fornece orientações para mitigar riscos e evitar o roubo de identidade. Visite https://kzarka.com para verificar se seus dados foram expostos.

Em um cenário de ameaças cada vez mais complexo, a proatividade é a melhor defesa. Mantenha-se informado, adote práticas de segurança robustas e utilize ferramentas de monitoramento para proteger sua identidade digital. A Kzarka está aqui para ajudar você a navegar com segurança nesse ambiente desafiador.