ClearFake Utiliza WebDAV para Distribuir Amatera Stealer e Outros Malwares

A nova onda de ataques do ClearFake, que distribui o Amatera Stealer, mostra uma complexificação notável nas táticas de infecção. A estratégia agora inclui o uso abusivo do protocolo WebDAV para executar DLLs maliciosas diretamente. Em vez de se apoiar apenas em scripts ou executáveis mais óbvios, os atacantes disfarçam o malware como arquivos legítimos, como 'verification.google', e exploram a capacidade do WebDAV de carregar conteúdo remoto. Este vetor de ataque é particularmente insidioso porque pode contornar defesas baseadas em assinaturas e comportamentos mais comuns.

A campanha também inovou ao usar a BNB Smart Chain como um C2 (Command and Control) e ponto de hospedagem para JavaScript malicioso, uma técnica conhecida como EtherHiding. Isso permite que o ClearFake opere com maior resiliência e dificuldade de rastreamento. As duas cadeias de infecção identificadas, uma visando uma entidade governamental ucraniana com o loader 'verification.google' e outra explorando o JavaScript do ClearFake via 'pf.ch', utilizam técnicas avançadas de evasão. Isso inclui DLL hollowing, onde o malware injeta código em DLLs legítimas como 'dbghelp.dll', e fluxos de controle guiados por exceções para dificultar a análise. O objetivo final é sempre o mesmo: roubar credenciais e criptomoedas, expandindo a capacidade do Amatera Stealer.

A cobertura anterior do CEVIU sobre campanhas ClickFix, como a de 23 de fevereiro e 16 de março de 2026, apontava para ataques que exploravam CAPTCHAs falsos e induziam usuários a executar comandos PowerShell. No entanto, a nova campanha do ClearFake representa um salto significativo na sofisticação. Antes, o foco era na execução de comandos via PowerShell e loaders como o Donut. Agora, os atacantes evoluíram para o uso direto de WebDAV e a hospedagem de componentes maliciosos em blockchains (EtherHiding).

Esta nova abordagem, com DLL hollowing e ofuscação avançada nos loaders 'pf.ch' e 'verification.google', torna a detecção e análise muito mais difíceis do que as táticas anteriores baseadas em PowerShell. O que era um vetor de engenharia social com execução de script, agora é uma cadeia de infecção multiestágio que abusa de protocolos de rede e infraestrutura descentralizada, demonstrando uma capacidade maior de evasão e persistência.

Esta evolução do ClearFake e a disseminação do Amatera Stealer são um alerta crítico para equipes de segurança da informação. A utilização de WebDAV e BNB Smart Chain como vetor e infraestrutura maliciosa eleva o nível da ameaça, exigindo defesas mais adaptáveis. A técnica de DLL hollowing, por exemplo, dificulta a detecção por soluções EDR e antivírus tradicionais, que podem não identificar a sobreposição de código malicioso em módulos legítimos do sistema operacional.

Organizações, inclusive governamentais, precisam reavaliar suas estratégias de segurança de endpoint e de rede, focando na detecção de anomalias no uso de protocolos como WebDAV e na identificação de atividades suspeitas em processos legítimos. A persistência dos atacantes em aprimorar suas táticas para roubo de dados e criptomoedas sublinha a necessidade de vigilância constante e de uma postura proativa contra ameaças sofisticadas e em constante mutação.