CERT-UA alerta: falsa verificação do Cloudflare em mais de 100 sites instala infostealer LunexStealer
Uma campanha ativa comprometeu mais de 100 sites para exibir uma tela falsa de verificação anti-bot do Cloudflare que, na prática, induz a vítima a copiar e colar um comando malicioso no Executar, PowerShell ou Prompt de Comando do Windows — a técnica conhecida como ClickFix. O comando instala o infostealer LunexStealer, que rouba senhas, cookies e histórico de navegação e pode assumir controle remoto do navegador da vítima.
O ataque começa com a injeção de JavaScript malicioso em sites legítimos comprometidos, que passam a exibir uma tela quase idêntica à verificação "Verifying you are human" do Cloudflare. Em vez de apenas marcar uma caixa, a página instrui o visitante a abrir uma janela do sistema (Executar, PowerShell ou CMD) e colar um comando ali — um pedido que nenhuma verificação legítima de bot jamais faria, mas que muitos usuários seguem sem questionar porque o visual da página inspira confiança.
Ao executar o comando, a vítima baixa e instala, sem perceber, um pacote MSI malicioso, do qual o CERT-UA identificou três variantes. Uma instala o LunexStealer diretamente; outra tenta burlar o Controle de Conta de Usuário do Windows, abre exceções no Windows Defender e explora um driver vulnerável da AMD (técnica BYOVD, bring-your-own-vulnerable-driver, via uma falha já catalogada) para rodar código com privilégios elevados driblando antivírus; a terceira usa DLL side-loading, fazendo um executável legítimo carregar sem saber uma biblioteca maliciosa que decifra e ativa o roubo de credenciais. Uma vez instalado, o malware pode ainda baixar a extensão de navegador LUNARAXE, disfarçada de complemento do Word, que captura cookies, histórico e dados digitados em formulários — inclusive logins bancários e de e-mail — além de permitir que o atacante controle remotamente o navegador da vítima, trocando configurações de proxy para interceptar tráfego.
O que torna essa campanha perigosa para o usuário comum é justamente a familiaridade do pretexto: verificações de bot via Cloudflare são onipresentes na web, e a vítima já está condicionada a resolvê-las sem pensar. Ao reaproveitar essa familiaridade para pedir uma ação que foge do padrão — abrir um terminal e colar um comando —, os atacantes exploram exatamente o ponto cego da confiança automática.
A regra de ouro, reforçada pelo próprio CERT-UA, é que nenhuma verificação de segurança real jamais pedirá para abrir o Executar, o PowerShell ou o Prompt de Comando: esse pedido é, por si só, sinal definitivo de fraude. Organizações podem reduzir a superfície de ataque restringindo o atalho Win+R por política de grupo, bloqueando a instalação de pacotes MSI não assinados ou não autorizados, e mantendo listas de bloqueio de drivers vulneráveis conhecidos atualizadas. Usuários que já tenham colado um comando suspeito devem trocar imediatamente as senhas salvas no navegador, revisar extensões instaladas e verificar a presença de software não reconhecido no sistema.