Nova onda de ataques cibernéticos revela avanço silencioso da Engenharia Social

A Check Point Research – CPR, divisão de inteligência de ameaças da Check Point Software, identificou uma nova e perigosa técnica de Engenharia Social chamada FileFix, que já está sendo testada ativamente por grupos cibercriminosos. A abordagem representa uma evolução da tática conhecida como ClickFix, mas com uma execução ainda mais sutil e disfarçada.

Enquanto o ClickFix induzia usuários a colarem comandos maliciosos no menu “Executar” do Windows, o FileFix explora a confiança do usuário no próprio Explorador de Arquivos do Windows. A técnica começa com a abertura de uma janela legítima do Explorador a partir de uma página web maliciosa. Em seguida, um comando PowerShell disfarçado como um simples caminho de diretório é silenciosamente copiado para a área de transferência. Ao colar esse conteúdo na barra de endereços do Explorador, o comando é executado sem qualquer aviso visível.

“Os cibercriminosos começaram a usar o FileFix menos de duas semanas após sua divulgação, o que mostra a rapidez com que esses grupos se adaptam. Assim como o ClickFix, essa técnica não depende de falhas sofisticadas, mas sim da manipulação de comportamentos rotineiros. Ao substituir a janela ‘Executar’ pelo Explorador de Arquivos, os atacantes se escondem à vista de todos, tornando a detecção mais difícil e a ameaça mais perigosa”, afirma Eli Smadja, gerente de Pesquisa em Segurança da Check Point Software.

A técnica não explora vulnerabilidades, mas sim a confiança do usuário em ações rotineiras do sistema operacional. Em apenas duas semanas após a divulgação pública da técnica, pesquisadores da Check Point Research detectaram sua aplicação em campanhas reais, inclusive por um ator de ameaça conhecido por ataques a plataformas de criptomoedas. A investigação deles também identificou o grupo KongTuke utilizando o mesmo método em uma campanha recente.

O grupo cibercriminoso responsável pelo uso do FileFix também esteve por trás de ataques anteriores com ClickFix. Seus métodos incluem o uso de SEO Poisoning, que manipula resultados de busca para atrair vítimas, e páginas de phishing que simulam telas de verificação captcha, muitas vezes com visual semelhante ao da Cloudflare. As páginas maliciosas são localizadas em múltiplos idiomas, como inglês, coreano, eslovaco e russo, o que amplia significativamente o alcance das campanhas.

Infraestrutura já em operação
Embora os primeiros testes com FileFix envolvam cargas benignas, já foi observada uma movimentação para o uso da técnica com malwares reais, como trojans de acesso remoto (RATs), stealers e loaders. Em 6 de julho passado, foi detectado um novo domínio hospedando uma página de phishing com o mesmo padrão de campanhas anteriores, indicando que a infraestrutura necessária para ataques em escala já está ativa.

Recomendações 
• Desconfie de páginas ou e-mails que instruam a executar ações manuais incomuns, como colar comandos em janelas do sistema;
• Eduque os usuários: softwares legítimos raramente exigem execução manual de comandos para corrigir erros;
• Monitore páginas de phishing que imitam serviços populares ou interfaces confiáveis, como as da Cloudflare;
• Implemente mecanismos de detecção em endpoints que identifiquem atividades suspeitas na área de transferência ou uso atípico do PowerShell;
• Atualize continuamente os programas de conscientização e os planos de resposta a incidentes;
• Incentive uma cultura de verificação, orientando os usuários a sempre validar instruções incomuns com as equipes de TI ou segurança.

A rápida adoção do FileFix reforça que a engenharia social permanece como um dos vetores de ataque mais eficazes e econômicos. Ao esconder comandos maliciosos em interações aparentemente inofensivas, como abrir um diretório no Explorador do Windows, os atacantes conseguem burlar defesas tradicionais e transformar o próprio usuário em vetor de infecção.

Para mitigar esse tipo de ameaça, a Check Point Software recomenda o uso de soluções avançadas de proteção de endpoint (como o Harmony Endpoint) contendo recursos de detecção de comportamento anômalo, bloqueio de execução furtiva e análise da área de transferência — ajudando a impedir ataques antes que causem danos reais.