O Google anunciou nesta terça-feira que está implantando salvaguardas aprimoradas no navegador Chrome para proteger usuários contra ataques ClickFix quando a Proteção Aprimorada estiver ativada.
ClickFix é uma técnica popular de engenharia social na qual agentes maliciosos enganam usuários para que copiem e colem código malicioso diretamente no sistema operacional do computador, contornando os controles de segurança convencionais.
Nesses ataques, usuários desavisados que acessam sites legítimos, porém comprometidos, ou anúncios maliciosos são redirecionados para páginas de phishing. Essas páginas exibem falsas verificações da Cloudflare ou do Google reCAPTCHA, ou outros erros inexistentes, e orientam o usuário a copiar e colar um comando na caixa de diálogo Executar do Windows (ou no aplicativo Terminal do Mac) para resolver o problema.
No momento em que o usuário pressiona a tecla Enter após colar o comando, é disparada uma cadeia de infecção em várias etapas, que leva à instalação de malware, como programas de roubo de informações e trojans de acesso remoto. Na tentativa de se misturar à atividade regular e escapar da detecção, esses comandos geralmente usam ferramentas nativas do próprio sistema, conhecidas como living-off-the-land (LotL, termo que designa o uso de ferramentas legítimas do sistema para fins maliciosos), como PowerShell ou cmd.exe, para baixar cargas maliciosas das etapas seguintes.
Um motivo central para o ClickFix continuar sendo um método eficaz de acesso inicial é que ele inverte a lógica do phishing tradicional. Em vez de explorar vulnerabilidades sofisticadas ou levar o usuário a clicar em links suspeitos, a técnica o convence a abrir a porta da frente por conta própria, sob o pretexto de solucionar um problema comum.
“Ao deslocar o processo de download do navegador para o terminal, os atacantes contornam completamente as proteções existentes de download do Chrome e da Navegação Segura”, afirmou o Google. “Para combater essa técnica, o Chrome agora detecta quando um usuário com Proteção Aprimorada é induzido a copiar comandos suspeitos.”
Se um usuário copiar um possível script do ClickFix, o conteúdo da área de transferência é higienizado de qualquer informação pessoal que possa conter e enviado à Navegação Segura para análise adicional. Se o sistema de segurança determinar que o comando é perigoso, o Chrome exibe um alerta. Com isso, a intenção é impedir que o ataque aconteça antes que o usuário execute o comando malicioso.
Além disso, o Google também está introduzindo as seguintes defesas no Chrome para combater golpes destinados aos usuários que ativam a Proteção Aprimorada:
- Criação de uma taxonomia para os alertas de sites da Navegação Segura: sites suspeitos, que apresentam padrões enganosos comumente associados a sites maliciosos conhecidos, e sites perigosos, que são sites conhecidos por serem maliciosos e que representam alto risco de dano ao usuário.
- Aprimoramento de abordagens baseadas em modelos de linguagem de grande porte (LLM, sigla de large language model) executados no próprio dispositivo, para sinalizar golpes de suporte técnico e outros, como falsos antivírus e falsas atualizações de navegador.
“Esse modelo avalia o conteúdo das páginas para analisar indicadores-chave, como a marca representada, a intenção da página e uma pontuação de probabilidade de golpe, o que nos fornece dados de ameaça essenciais para identificar sites enganosos”, afirmou o Google.
“Ao longo de todo esse processo, o Chrome minimiza a quantidade de dados compartilhados com o servidor, analisando o texto da página somente quando um site apresenta indicadores de golpe com alta confiança. E sempre que o conteúdo da página é enviado para fora do dispositivo, ele é processado de forma efêmera, o que significa que nunca é registrado, retido ou usado para treinar modelos.”
Também nesta terça-feira, o Google disse que está introduzindo a Verificação de Serviços Financeiros nos EUA e no Canadá para validar as credenciais dos anunciantes e garantir que os anúncios venham de provedores financeiros autorizados. O programa já se aplica a diversos mercados globais, incluindo Austrália, Brasil, Índia, Indonésia, Malásia, Nova Zelândia, Turquia e vários países da Europa.
“Sob essa política, os anunciantes devem comprovar que são autorizados pelos órgãos reguladores relevantes ou por registros reconhecidos antes de veicular determinados anúncios financeiros, o que ajuda a evitar a falsificação de marcas e impede que agentes maliciosos alcancem as pessoas”, afirmou o Google.
“Paralelamente ao nosso trabalho contínuo com órgãos reguladores financeiros, estamos trabalhando nos EUA com a American Bankers Association para usar o registro dedicado dela e verificar bancos autorizados antes que os anúncios possam ser veiculados. No Canadá, estamos em contato próximo com a Canadian Bankers Association enquanto nos preparamos para o lançamento.”
Apple bloqueia resolução de identidade no Safari e no WebKit
O anúncio ocorre enquanto a Apple revelou novas proteções de privacidade integradas ao Safari e ao WebKit que bloqueiam uma prática chamada resolução de identidade, que transforma endereços de e-mail em identificadores de rastreamento persistentes. O recurso antirrastreamento está disponível nas versões do iOS, iPadOS, macOS e visionOS 27.
“O identificador de rastreamento fica armazenado no site e, a partir daí, pode ser usado para finalidades arbitrárias vinculadas ao seu endereço de e-mail, como construir um perfil da sua navegação ou direcionar anúncios para você em vários sites. Sair ou cancelar a assinatura dessa newsletter não remove o identificador de rastreamento nem o seu endereço de e-mail armazenados com o terceiro.”
A Apple afirmou que terceiros podem obter mais dados sobre os usuários conforme eles fazem login com o endereço de e-mail ou preenchem formulários com dados pessoais, o que lhes permite criar um grafo de identidade com nome, endereço residencial, número de telefone e endereço IP (sigla de Internet Protocol, ou protocolo de internet).
Para impedir esse tipo de rastreamento entre sites, o Safari bloqueia o acesso de rede à infraestrutura de resolução de identidade incorporada às páginas da web, impedindo que o terceiro envie o endereço de e-mail para os seus servidores. Segundo a Apple, o bloqueio é feito no nível de domínio.
“Não basta bloquear cookies entre sites para impedir o rastreamento entre sites hoje, porque a indústria do rastreamento não parou de tentar rastrear usuários na web”, afirmou a Apple. “Eles entraram no que chamam de era pós-cookies, e em nossas versões mais recentes instalamos proteções robustas.”
