dicas-seguranca

OneClik: O Malware que Usa o ClickOnce pra Fazer o Setor de Energia Dançar no Escuro

Imagine um e-mail que parece um convite inocente para um “teste de hardware”, mas, na verdade, é um cavalo de Troia digital que entrega seu servidor nas mãos de hackers. Essa é a campanha OneClik, um ataque furtivo que transforma o ClickOnce da Microsoft — sim, aquela ferramenta que deveria facilitar atualizações — numa arma contra o setor de energia. Com backdoors em Golang e um jeitinho de se esconder na nuvem, esse malware é como um vilão de filme que sabe todas as senhas do prédio. Pronto pra mergulhar nesse pesadelo cibernético? Vamos destrinchar essa bagunça, segundo os nerds da Trellix e da QiAnXin.

A Isca: Phishing que Engana até o Sysadmin Mais Esperto

Tudo começa com um e-mail de phishing, daqueles que parecem vir do seu chefe pedindo um relatório urgente. Ele te leva a um site falso de “análise de hardware”, hospedado em serviços confiáveis como o Azure. Ao clicar, você baixa um aplicativo ClickOnce, que roda sob o inocente “dfsvc.exe” — o entregador oficial da Microsoft que, dessa vez, traz um pacote explosivo. É como aceitar um presente do Loki achando que é só um bibelô.

O truque? O ClickOnce, criado pra instalar apps sem incomodar o usuário, é abusado por hackers pra injetar código via uma técnica chamada AppDomainManager hijacking. Um shellcode criptografado entra na memória e, voilà, o palco está pronto pro verdadeiro vilão: o backdoor RunnerBeacon.

O Backdoor Furtivo: RunnerBeacon, o Canivete Suíço dos Hackers

Desenvolvido em Golang, o RunnerBeacon é um pesadelo multifuncional. Ele conversa com servidores de comando e controle (C2) usando HTTP, WebSockets, TCP bruto e até pipes nomeados SMB, tudo escondido atrás de serviços legítimos da AWS, como CloudFront e Lambda. É como um TIE Fighter se misturando ao tráfego de cargueiros espaciais — boa sorte pra detectar isso.

O que ele faz? Tudo. Manipula arquivos, lista e mata processos, executa comandos de shell, escala privilégios roubando tokens e ainda faz varredura de portas e proxy via SOCKS5. Segundo a Trellix, ele tem até truques antianálise, como loops de ofuscação e detecção de sandboxes, pra garantir que sua festa hacker não seja interrompida. E olha só: o design lembra os beacons Cobalt Strike, tipo o Geacon, mas com um toque mais furtivo, como se fosse uma versão tunada do Darth Vader.

A Longa Dança: Três Variantes e Uma Velha Conhecida

A campanha OneClik não é novata. Em março de 2025, a Trellix identificou três variantes — v1a, BPI-MDM e v1d —, cada uma mais esperta que a anterior, com truques de evasão que fariam qualquer antivírus chorar. Uma versão do RunnerBeacon já rondava desde setembro de 2023, aterrorizando uma empresa de petróleo e gás no Oriente Médio. Isso é persistência digna de um vilão de série longa.

E não para por aí. A QiAnXin revelou uma campanha parecida, liderada pelo grupo APT-Q-14, que também usa o ClickOnce, mas com um toque de cross-site scripting (XSS) em plataformas de e-mail. O e-mail, disfarçado de notícia do Yahoo, instala um trojan que coleta dados e abre portas pra mais payloads. Suspeita-se que o APT-Q-14 tenha laços com grupos como DarkHotel, mas ninguém bota a mão no fogo pela atribuição.

E Agora? Sua Rede Tá Pronta pro Baile dos Hackers?

O OneClik é um lembrete cruel: enquanto empresas de energia sonham com eficiência, hackers transformam ferramentas confiáveis em armas. A China pode estar por trás disso (ou não, quem sabe?), mas o fato é que esses ataques “vivem da terra”, se escondendo em serviços como AWS e ClickOnce. Sua equipe de TI tá monitorando tráfego estranho ou ainda acha que um antivírus de 2015 vai salvar o dia? O relógio tá correndo, e os hackers não mandam convite pra essa festa.

Quer blindar sua rede contra vilões digitais? Confira nossas dicas em https://pixbugtech.com/linksuteis.