Campanha de phishing massiva usa CAPTCHAs falsos para espalhar malware Lumma Stealer

Os cibercriminosos estão intensificando seu jogo com uma nova campanha de phishing em larga escala que entrega o malware Lumma Stealer por meio de imagens CAPTCHA falsas incorporadas em arquivos PDF. De acordo com o Netskope Threat Labs, esta campanha já comprometeu mais de 7.000 usuários em 1.150 organizações, visando principalmente os setores de tecnologia, serviços financeiros e manufatura na América do Norte, Ásia e Sul da Europa.

Pesquisadores encontraram 5.000 PDFs maliciosos hospedados em 260 domínios diferentes, muitos dos quais pertencem a Webflow, GoDaddy, Strikingly, Wix e Fastly. Os invasores usam manipulação de SEO para enganar as vítimas a clicarem nesses documentos a partir dos resultados do mecanismo de busca, redirecionando-as para sites projetados para roubar detalhes de cartão de crédito ou infectar seus sistemas com malware Lumma Stealer.

Como funciona o ataque

Os invasores distribuem arquivos PDF que contêm imagens CAPTCHA falsas. As vítimas que clicam nesses CAPTCHAs são redirecionadas para sites maliciosos, onde são enganadas a inserir detalhes financeiros confidenciais ou são infectadas com malware por meio de um ataque baseado em PowerShell.

A variante Lumma Stealer nesta campanha é implantada por meio de uma técnica ClickFix, que engana os usuários para executar um comando MSHTA. Este comando executa um script PowerShell oculto que baixa e instala o malware Lumma Stealer no sistema da vítima.

Principais táticas usadas nesta campanha

• Envenenamento de otimização de mecanismos de busca (SEO) – PDFs maliciosos são enviados para bibliotecas e repositórios online como PDFCOFFEE, PDF4PRO, PDFBean e Internet Archive, fazendo com que apareçam em resultados de pesquisa legítimos.
• Verificação falsa de CAPTCHA – Vítimas que tentam se "verificar" clicando no CAPTCHA, sem saber, executam comandos maliciosos.
• Explorações MSHTA e PowerShell – O ataque ignora as defesas de segurança usando utilitários confiáveis do Windows para executar malware.
• Infraestrutura de hospedagem generalizada – Os PDFs de phishing estão espalhados por centenas de domínios , tornando os esforços de remoção mais desafiadores.

Lumma Stealer: Um perigoso infostealer em ascensão

Lumma Stealer é uma ferramenta Malware-as-a-Service (MaaS) projetada para coletar dados sensíveis de máquinas Windows comprometidas. Ele pode roubar credenciais de login, cookies de navegador, carteiras de criptomoedas e outras informações valiosas.

Recentemente, os operadores da Lumma expandiram suas capacidades integrando-se com GhostSocks, um malware proxy baseado em Golang. Isso permite que os agentes de ameaças aproveitem as conexões de internet das vítimas para contornar restrições geográficas e evadir medidas de segurança financeira que detectam acesso não autorizado.

Credenciais e dados roubados de infecções Lumma são frequentemente compartilhados em fóruns clandestinos como o Leaky[.]pro, um mercado de hackers relativamente novo que surgiu no final de dezembro de 2024.

Outras ameaças que aproveitam a técnica ClickFix

O Lumma Stealer não é o único malware que explora técnicas de phishing do ClickFix. Pesquisadores do Zscaler ThreatLabz e eSentire observaram táticas semelhantes usadas para distribuir:

• Ladrão de Vidar
• Ladrão atômico do macOS (AMOS)
• Malware com tema de chatbot do DeepSeek AI

Além disso, o Juniper Threat Labs identificou ataques de phishing usando métodos de ofuscação Unicode para evitar a detecção. Esses ataques escondem valores binários dentro de caracteres Hangul (U+FFA0 e U+3164), tornando payloads JavaScript maliciosos mais difíceis de serem detectados por ferramentas de segurança.

Como se proteger do Lumma Stealer e ataques semelhantes

Dada a sofisticação e a escala desta campanha, organizações e indivíduos devem tomar medidas imediatas para melhorar suas defesas de segurança cibernética.

• Evite clicar em links de PDF suspeitos – Tenha cuidado ao baixar PDFs de resultados de pesquisa, anexos de e-mail ou fontes desconhecidas.
• Verificar páginas CAPTCHA – CAPTCHAs legítimos não exigem download de arquivos ou execução de scripts.
• Monitore o Webflow e outros serviços de hospedagem – As equipes de segurança devem rastrear o uso malicioso de seus domínios e relatar conteúdo suspeito.
• Restringir a execução do PowerShell e do MSHTA – Implemente restrições de Política de Grupo para impedir que invasores abusem das ferramentas do Windows para executar códigos maliciosos.
• Eduque os funcionários sobre técnicas de phishing – treine a equipe para reconhecer CAPTCHAs falsos, phishing baseado em SEO e outras táticas de engenharia social.
• Implante proteção avançada contra ameaças – Use soluções de detecção e resposta de endpoint (EDR) para detectar abuso do PowerShell, tráfego web suspeito e atividade de malware infostealer.

Considerações finais

Esta campanha de phishing destaca como os cibercriminosos estão evoluindo suas técnicas para distribuir o Lumma Stealer e outros malwares. Ao usar CAPTCHAs falsos em PDFs, envenenamento de SEO e métodos avançados de ofuscação, os invasores estão contornando com sucesso as medidas de segurança tradicionais.

Com milhares de usuários já comprometidos e táticas de distribuição de malware em expansão, as empresas devem permanecer vigilantes, educar os funcionários e implementar fortes medidas de segurança para se defender contra essas ameaças em evolução.