Pacific News #309: O Pescador de Moedas

Assunto do momento: Nova variação do ClickFix usa Google Sheets para roubar criptomoedas 

O que aconteceu? A Cisco Talos descobriu uma nova campanha, ativa desde 2025, que traz uma variação do já conhecido ClickFix. Agora, os cibercriminosos têm como objetivo roubar criptomoedas por meio da injeção de código JavaScript malicioso direto no navegador da vítima. Para executar o golpe, usam o Google Sheets como servidor de comando e controle (C2), escondendo o ataque dentro do tráfego legítimo do Google. 

Por que isso importa? Mesmo que você não use criptomoedas, a técnica ainda é relevante e pode te afetar. O abuso da infraestrutura confiável do Google para camuflar tráfego malicioso, segundo a Cisco, pode ser reaproveitada em diversos ataques ainda mais amplos, como ataques de supply chain e através de extensões maliciosas, por exemplo.

Diferenças pro ClickFix: No ClickFix tradicional, a vítima é ludibriada a rodar comandos maliciosos diretamente no seu Sistema Operacional (por exemplo, através do “Executar”, no Windows). Esta variação faz com que o código malicioso seja executado diretamente no navegador, colando-o na barra de endereços ou injetado através de uma extensão maliciosa, tornando ele próximo a ataques como o Magecart, por exemplo. 

O ataque: O golpista, primeiro, utiliza uma isca, como um “relatório de vulnerabilidade vazado”, indicando uma falha fictícia em corretoras de criptomoedas, que pode ser abusada para aumentar seus ganhos em Bitcoin, por exemplo. Em seguida, o golpista instrui a vítima a explorar essa falha, colando um link em seu navegador ou instalando uma extensão em seu Google Chrome. Em ambos os casos, o script irá buscar um payload hospedado dentro de uma planilha pública no Google Sheets que, através da Google Visualization API, executa o script diretamente. Uma vez executado, o payload final sequestra a interface do navegador, substituindo endereços de depósito exibidos na tela, interceptando e alterando respostas da API do navegador e trocando o conteúdo copiado para o clipboard por endereços de carteira do atacante. 

Saiba mais: A Cisco Talos identificou 49 carteiras de Bitcoin usadas no esquema, das quais 24 receberam fundos de vítimas, somando cerca de 0,159 BTC (~US$ 10 mil em valores de agosto de 2026). O dinheiro depois passou por mais de 3.000 endereços adicionais, provavelmente parte de uma operação de mixing para dificultar o rastreio. A Talos reportou os documentos maliciosos ao Google e aos sites afetados em abril, que foram derrubados, mas em uma semana os golpistas já estavam de volta com uma nova planilha e um novo link. Em agosto, mesmo após novas denúncias, o esquema ainda segue ativo.

Hagaseca: o malware Android que varre a internet atrás de dispositivos vulneráveis

O que aconteceu? Pesquisadores da Dark Atlas analisaram o Hagaseca, um conjunto de artefatos de malware que explora serviços de Ferramenta de Depuração do Android(ADB) expostos. O malware combina acesso remoto, persistência, controle do dispositivo e capacidade de propagação.

Por que isso importa? O Hagaseca consegue fazer varreduras de grandes blocos de endereços, testando cerca de 65 mil IPs em uma única faixa de rede. Ao encontrar dispositivos com ADB acessível, o malware pode instalar seu próprio APK e transformar o novo dispositivo em mais um ponto de propagação, aumentando o potencial de disseminação em larga escala.

O ataque: Quando instalado em um dispositivo Android, um componente do Hagaseca chamado THost9 atua como um loader, responsável por esconder e carregar o código malicioso. O APK contém um recurso chamado assets/hg, que é protegido com XOR e gzip. Após decodificar esse conteúdo, o THost9 recupera e carrega uma segunda etapa, chamada tc9.dex, que concentra as principais funcionalidades maliciosas, permite comunicação com o C2, executa comandos, transfere arquivos e cria túneis TCP. 

Controle do dispositivo: O malware também utiliza os recursos de acessibilidade do Android para interagir com a interface gráfica, permitindo abrir notificações, acessar configurações, navegar entre telas, identificar elementos da interface e executar cliques e toques. Com isso, o operador pode realizar ações que normalmente exigiriam interação direta do usuário.

Como se proteger: A principal recomendação é evitar a exposição pública do ADB. Em ambientes Redroid, o serviço deve ser limitado a localhost e o acesso remoto, quando necessário, deve ocorrer por um túnel autenticado. Também é importante monitorar instalações e permissões de acessibilidade inesperadas, além de identificar dispositivos com os indicadores associados ao Hagaseca.

Papo Rápido

@Ataques

Um exploit kit inédito chamado BlueMoon, que encadeia duas vulnerabilidades zero-day no Chrome com uma falha de elevação de privilégios no Windows, foi detectado sendo usado por quatro grupos de espionagem diferentes em menos de uma semana, com início no APT31, ligado à China. Exploits de Chrome, historicamente raros e caros, estão se tornando commodities compartilhadas entre grupos de ameaça, o que pode democratizar esse tipo de ataque sofisticado. (TheHackerNews)

Um teste de segurança mal configurado permitiu que modelos Claude acessassem sistemas reais e executassem ações maliciosas durante avaliações que deveriam ocorrer em ambientes isolados. Em um caso, o Claude Mythos 5 publicou um pacote malicioso no PyPI, que foi baixado por 15 sistemas e acabou expondo credenciais de uma empresa de segurança. Mesmo reconhecendo o risco de danos reais, o modelo ignorou evidências de que estava fora do ambiente isolado e seguiu com ações ofensivas. (SecurityAffairs)

@Atualizações

A SAP lançou correções para quatro vulnerabilidades críticas, incluindo a CVE-2026-44756 (CVSS 10.0): uma falha no kernel que permite a execução remota de código sem qualquer autenticação, dando ao atacante controle total sobre o sistema SAP. Atualize já!  (TheHackerNews)

A Microsoft corrigiu um recorde de 974 vulnerabilidades em sua atualização de segurança de setembro, incluindo duas falhas de zero-day já exploradas em ataques. O pacote também corrige 20 vulnerabilidades potencialmente exploráveis por worms, que permitem a execução remota de código sem autenticação ou interação do usuário. (SecurityWeek)

@Mundo

Entrou em vigor a primeira fase do EU Cyber Resilience Act, onde empresas que vendem produtos com conectividade de rede na União Europeia passam a ter apenas 24 horas para notificar a agência de cibersegurança da UE sobre vulnerabilidades ativamente exploradas ou incidentes graves, sob risco de multa de até €15 milhões. Isso significa que organizações do mundo inteiro que operam no mercado europeu precisarão ter processos maduros de detecção e resposta a incidentes. (DarkReading)

Quer saber mais? Siga-nos nas redes sociais: Linkedin, Instagram.
Segurança nunca é demais, ainda mais nos dias de hoje.
Compartilhe o conhecimento, espalhe a segurança!

Siga nossa Newsletter e se mantenha atualizado sobre as últimas tendências em Cybersec!

Escrito por: Thaís Hudari Abib, Murilo Lopes e Cíntia Baltar
Arte: George Lopes e Anselmo Costa