Operação CL-CRI-1171 expõe a complexidade por trás de adwares 'rotineiros'

A operação CL-CRI-1171, exposta pela Unit 42, redefine a percepção de ameaças de baixo nível. O que parecem ser simples infecções de adware são, na verdade, a ponta de um iceberg de uma complexa rede de Pagamento por Instalação (PPI), ativa há pelo menos dois anos. Esta rede utiliza o loader OfferLoader para distribuir diversos malwares, atingindo desde jovens gamers até infraestruturas corporativas e governamentais.

A tática é engenhosa: enquanto a campanha CL-CRI-1171 usa canais do YouTube e envenenamento de SEO para atrair vítimas, ela emprega uma impressão digital Base64 para exibir conteúdo falso a scanners e analistas, protegendo sua infraestrutura. Isso explica a quase nula detecção pública, mesmo com vasta atividade. O CEVIU News já alertou sobre táticas similares em matérias anteriores, como em “Como atacantes estão transformando guias de instalação malvertidas em armas” (publicado em março de 2026) e as campanhas de malvertising para malware SectopRAT e FlutterShell, noticiadas em julho e junho de 2026, respectivamente. A CL-CRI-1171 eleva o nível dessas ameaças com uma camada extra de furtividade.

Esta revelação é um alerta crítico para os defensores. Não se deve subestimar alertas sobre loaders ou adwares de commodities, pois eles podem mascarar campanhas de ciberataques altamente sofisticadas. A capacidade da CL-CRI-1171 de atingir infraestruturas corporativas e governamentais por meio de vetores aparentemente inofensivos, como conteúdo de jogos ou pesquisas por software comum, mostra a necessidade de uma análise mais profunda de cada incidente.

A persistência da campanha e suas táticas evasivas, somadas à variedade de payloads (como o Insomnia RAT multiplataforma e o Docro Hijacker que burla proteções modernas do Chrome), destacam a evolução do crime digital. As organizações precisam reavaliar suas prioridades de segurança, focando na infraestrutura de C2 e nas cadeias de infecção completas, em vez de apenas no artefato inicial de malware.