A Microsoft emitiu um aviso este mês sobre uma vaga crescente de ataques do ACR Stealer, um vírus especializado em roubar palavras-passe, dados de sessão e documentos guardados no Google Chrome e no Microsoft Edge.
Este malware — uma versão remodelada do antigo Amatera Stealer — está a usar táticas cada vez mais dissimuladas para invadir computadores e aceder a contas pessoais e empresariais sem que o utilizador perceba.
O truque do "ClickFix": a armadilha do momento
A porta de entrada é quase sempre a mesma: uma técnica chamada ClickFix.
Através de anúncios falsos ou resultados manipulados nas pesquisas do Google, és levado para uma página que simula um erro no navegador. Para "corrigir" o problema, o site pede para copiar um comando e o colar na linha de comandos do Windows (ou pressionar uma combinação de teclas).
Lembra-te disto: Nunca faças "copiar e colar" com comandos sugeridos por sites para resolver erros de navegação. É uma armadilha preparada para infetar o teu sistema.
Duas formas diferentes de invadir o teu PC
Os especialistas da Microsoft identificaram dois caminhos principais que estes hackers estão a utilizar:
1. O método com Python e tecnologia Blockchain
Nesta variante, o comando descarrega um ficheiro através de uma pasta remota (WebDAV):
- O vírus executa scripts em PowerShell escondidos.
- Instala uma versão do Python na pasta temporária do teu utilizador (
%LocalAppData%\Temp). - Cria uma tarefa agendada no Windows a fingir que é uma atualização legítima de software, garantindo que o vírus arranca sempre que ligas o PC.
- O detalhe mais curioso: Utiliza a tecnologia Blockchain (Web3) para esconder o endereço do servidor dos piratas. Assim, mesmo que o servidor principal seja desativado, o vírus descobre automaticamente o novo endereço na rede descentralizada.
2. O método "invisível" escondido em imagens
A segunda vaga é ainda mais difícil de detetar porque opera quase sem guardar ficheiros no disco (fileless), correndo diretamente na memória RAM:
- Usa o utilitário do Windows
MSHTApara descarregar o código inicial. - Faz o download de uma imagem JPEG aparentemente normal.
- A técnica: O vírus usa esteganografia para esconder o código malicioso dentro dos próprios pixels da imagem. O script extrai esse código e executa-o diretamente na memória do sistema.
O que é que o ACR Stealer rouba?
Independentemente do método de entrada, o objetivo final do ACR Stealer é o mesmo: extrair os teus dados.
- Palavras-passe e cookies: Acede diretamente às bases de dados do Chrome e do Edge e usa ferramentas do Windows (DPAPI) para desencriptar passwords e tokens de sessão (o que permite entrar nas tuas contas sem precisar da palavra-passe).
- Ficheiros pessoais: O malware procura no disco por documentos confidenciais, PDFs e ficheiros guardados no OneDrive ou SharePoint.
Como te podes proteger?
- Desconfia de avisos de erro na web: Se um site disser que o teu navegador falhou e te der um comando para executar no sistema, fecha a página imediatamente.
- Atenção aos links manhosos: Ao pesquisares por programas para descarregar, confirma que estás no site oficial e não num anúncio do topo da pesquisa.
- Usa um gestor de palavras-passe dedicado: Evita guardar credenciais importantes diretamente no navegador.
- Ativa a Autenticação de Dois Fatores (2FA): Garante que, mesmo que a tua palavra-passe seja exposta, o acesso à conta depende de uma aprovação no teu telemóvel.
- Mantém o antivírus ativo: O Microsoft Defender e outras soluções de segurança já possuem formas de bloquear a execução destas ameaças.
Promoção do dia
