Uma operação de cibercrime pode ser tão sofisticada quanto o permita a tecnologia que utiliza. Mas basta, por vezes, um erro aparentemente banal para abrir uma janela para o seu interior. Foi isso que aconteceu com a StopAndProtect, uma campanha investigada pela Check Point Research (CPR) que terá atingido mais de 5 000 computadores em todo o mundo. A investigação permitiu identificar ainda ficheiros que fazem referência a cerca de 2 000 domínios WordPress comprometidos.O mais relevante, porém, não é apenas a dimensão da campanha. É aquilo que os investigadores conseguiram observar depois de os próprios atacantes deixarem expostos elementos da sua infraestrutura: registos de vítimas, capturas de ecrã, ficheiros roubados, código-fonte e ferramentas internas utilizadas para gerir a operação.A descoberta oferece uma rara visão sobre a forma como uma campanha moderna de cibercrime pode ser construída à escala global — e sobre a facilidade com que sites legítimos podem ser transformados em peças de uma infraestrutura criminosa.Milhares de sites transformados em servidores de ataqueA StopAndProtect não dependia exclusivamente de servidores controlados diretamente pelos atacantes. Em vez disso, recorria a uma rede distribuída de sites WordPress comprometidos.A estratégia tem uma vantagem evidente para quem está do outro lado do ataque: um site legítimo pode parecer muito menos suspeito do que uma infraestrutura criada especificamente para distribuir malware.Os investigadores encontraram evidências de que estes sites eram utilizados em diferentes momentos da cadeia de ataque. Podiam alojar ficheiros maliciosos, distribuir novas cargas de malware, estabelecer comunicação com computadores infetados ou armazenar informação roubada às vítimas.Na prática, milhares de páginas aparentemente normais passavam a desempenhar funções dentro de uma operação criminosa.É uma estratégia que também tira partido de uma fragilidade antiga da Internet: a existência de sites abandonados, desatualizados ou mal protegidos.Num dos casos analisados pela Check Point Research, um dos sites comprometidos utilizava uma versão do WordPress de 2021 associada a quase 40 vulnerabilidades conhecidas. Para os atacantes, uma instalação que deixou de receber atualizações pode representar uma porta de entrada relativamente simples para uma operação muito maior.O problema deixa, assim, de ser apenas o do proprietário de um determinado site. Uma página desatualizada pode transformar-se num ponto de passagem para malware destinado a vítimas que estão a milhares de quilómetros de distância.O segredo da operação ficou expostoA infraestrutura criada para dificultar a deteção acabou por revelar os próprios responsáveis pela campanha.Durante a investigação, os especialistas encontraram diretórios acessíveis publicamente onde estavam armazenados registos relacionados com malware, capturas de ecrã de computadores das vítimas, ficheiros roubados e ferramentas utilizadas pelos operadores.Entre os materiais recuperados estava também código-fonte associado a sistemas de automatização concebidos para administrar, em escala, os sites WordPress comprometidos.A exposição poderá ter acontecido devido a uma falha operacional dos próprios atacantes. Segundo a investigação, existe ainda a suspeita de que um dos operadores tenha infetado acidentalmente o seu próprio computador.O erro terá provocado o carregamento de ficheiros internos de desenvolvimento para a mesma infraestrutura utilizada para recolher informação das vítimas.Os ficheiros foram posteriormente removidos, mas permaneceram acessíveis tempo suficiente para que os investigadores reconstruíssem parte da arquitetura da operação.É uma ironia recorrente no mundo da cibersegurança: sistemas concebidos para permanecer invisíveis podem ser comprometidos não por uma sofisticada técnica de ataque, mas por um erro humano.O CAPTCHA que não devia ser obedecidoA entrada das vítimas na campanha começa com uma técnica conhecida como ClickFix, baseada em engenharia social.Em vez de explorar necessariamente uma vulnerabilidade sofisticada no computador da vítima, o ataque procura convencê-la a executar determinadas ações.O cenário pode parecer familiar. Surge um CAPTCHA ou uma mensagem destinada a confirmar que o utilizador é humano. Mas, em determinado momento, são apresentadas instruções para copiar, colar e executar comandos no computador.É precisamente aí que o CAPTCHA deixa de ser um mecanismo de proteção e passa a ser uma armadilha.Ao seguir as instruções, a vítima pode desencadear uma cadeia de infeção que descarrega componentes maliciosos a partir dos sites WordPress comprometidos.A eficácia da técnica reside na combinação de dois elementos: a confiança que os utilizadores depositam em mecanismos aparentemente legítimos e a capacidade de os criminosos utilizarem uma infraestrutura distribuída para esconder a origem do ataque.A vítima não precisa de descarregar conscientemente um ficheiro suspeito. Basta seguir instruções que parecem fazer parte do processo normal de navegação.Malware que pode ter vários destinosA campanha também mostra como o malware contemporâneo deixou de estar necessariamente associado a um único objetivo.A mesma infraestrutura pode servir para diferentes operações, dependendo daquilo que os atacantes procuram.Entre os possíveis objetivos estão o roubo de documentos, credenciais e outras informações sensíveis, a vigilância das vítimas através de capturas de ecrã ou, em determinadas situações, a preparação de ataques de ransomware.Esta modularidade aumenta o valor da infraestrutura para os criminosos. Uma vez conseguido o acesso ao computador, diferentes ferramentas podem ser utilizadas para diferentes finalidades.A operação torna-se, assim, menos parecida com um ataque isolado e mais semelhante a uma cadeia de produção: uma infraestrutura distribui o malware, outra recolhe informação e outras ferramentas permitem aos operadores decidir o que fazer com os dados obtidos.A escala é parte do problemaA identificação de cerca de 2 000 domínios WordPress comprometidos é particularmente relevante porque demonstra a dimensão da infraestrutura utilizada.Cada site pode parecer insignificante quando analisado isoladamente. Em conjunto, porém, podem formar uma rede distribuída capaz de suportar milhares de infeções.A vantagem para os atacantes é também operacional. Se um domínio for identificado e bloqueado, outros podem continuar disponíveis.A utilização de sites legítimos acrescenta ainda outra camada de dificuldade. O tráfego proveniente de uma página aparentemente normal pode misturar-se com a atividade habitual da Internet, dificultando a identificação imediata da infraestrutura criminosa.É precisamente esta combinação entre escala, distribuição e engenharia social que torna campanhas deste género particularmente difíceis de combater.O erro mais simples pode abrir a portaPara as organizações, a resposta começa antes de qualquer infeção.A primeira barreira é manter atualizados os sites WordPress, os temas e os módulos utilizados. Uma plataforma desatualizada pode tornar-se parte de uma operação criminosa sem que o proprietário tenha conhecimento disso.Mas a defesa não termina nos servidores.Os utilizadores devem ser treinados para reconhecer técnicas de engenharia social como o ClickFix. Também é importante monitorizar comportamentos anómalos, incluindo a execução de comandos através de ferramentas como o PowerShell quando essa atividade é desencadeada a partir do navegador.Existe, contudo, uma regra particularmente simples.Um CAPTCHA legítimo não precisa que o utilizador abra uma linha de comandos, copie instruções ou execute comandos no computador.Sempre que uma página pedir esse tipo de comportamento, a navegação deve ser interrompida.A recomendação da Check Point Research é igualmente dirigida às organizações: a proteção deve abranger utilizadores, dispositivos, redes e ambientes cloud e privilegiar a prevenção, procurando bloquear a cadeia de ataque antes de o malware conseguir estabelecer-se ou os dados serem roubados.Uma operação criminosa exposta pelos próprios operadoresA StopAndProtect deixa uma conclusão que vai além do número de computadores infetados.A investigação mostra como a economia do cibercrime depende cada vez mais de infraestruturas distribuídas, de engenharia social e da capacidade de transformar serviços legítimos em ferramentas de ataque.Mas mostra também outra coisa: mesmo operações desenhadas para permanecerem ocultas continuam dependentes de pessoas.E as pessoas cometem erros.Neste caso, foram esses erros que permitiram aos investigadores olhar para dentro da operação e reconstruir parte da sua arquitetura: milhares de sites comprometidos, milhares de vítimas, ferramentas internas, ficheiros roubados e mecanismos de distribuição de malware.Para quem utiliza a Internet, a lição é mais simples do que a infraestrutura criminosa que a sustenta.Nem tudo aquilo que parece uma verificação de segurança serve para proteger o utilizador. E, quando uma página pede que se copie e execute um comando no computador para provar que se é humano, o verdadeiro teste pode estar precisamente em não obedecer.O conteúdo Milhares de sites legítimos foram usados para atacar computadores em todo o mundo aparece primeiro em Revista Líder.