WordlistLoader malware delivers Amatera Stealer through ClearFake fake-CAPTCHA campaigns, using stealthy evasion to steal browser data.

Related Posts:

• Clop Deploys Custom Web Shell in PTC Windchill Extortion Attacks
• C2Looper: Rust Backdoor Uses GitHub for C2 Control
• Manic Android Malware Steals Data Without Active Internet

The post WordlistLoader Delivers Amatera Stealer Through ClearFake Campaigns appeared first on Daily CyberSecurity.

Os CAPTCHAs, como os conhecemos, surgiram em nossas telas há 26 anos. Embora tenham evoluído bastante desde então, os CAPTCHAs sempre seguiram o mesmo princípio: apresentar uma tarefa que um humano resolve em segundos, mas um computador não.

Tudo começou com texto distorcido, problemas de matemática e clipes de áudio curtos. Então veio a era de identificar hidrantes, semáforos e motocicletas, uma fase que parecia durar para sempre. Mas descobriu-se que os LLMs modernos conseguem resolver esses quebra-cabeças visuais muito mais rápido e com mais precisão do que qualquer humano jamais conseguiria.

Veja como esses testes de “você é humano?” mudaram e o que isso significa para a sua segurança.

O fim da era de clicar em imagens

Em 2007, o Google lançou o reCAPTCHA. Oito anos depois, passou a pedir que os usuários selecionassem todas as imagens que correspondessem a um determinado prompt. Assim, milhões de usuários da Internet se tornaram, sem perceber, especialistas em identificar semáforos, bicicletas, telhados, pontes e hidrantes. É claro que os bots de IA já aprenderam há muito tempo a decifrar esses quebra-cabeças.

Por isso, em junho de 2026, o Google começou a testar uma forma totalmente nova de verificar se você é humano. Em vez de imagens, alguns usuários agora são solicitados a gravar um vídeo curto mostrando gestos com as mãos. Os algoritmos analisam a filmagem, rastreando 21 pontos-chave nas articulações das mãos e dos dedos. Com base no movimento da sua mão, o sistema consegue identificar se você é um ser humano de verdade ou um bot. Passar por esse novo tipo de CAPTCHA significa conceder acesso à câmera, algo que chama a atenção de quem se preocupa com segurança e privacidade. Além disso, pesquisadores de segurança afirmam já ter descoberto uma brecha no CAPTCHA experimental do Google baseado em gestos com as mãos, demonstrando que basta uma foto de uma mão para enganá-lo.

Ainda assim, o Google insiste que esses vídeos nunca são vinculados à sua identidade pessoal e nenhum áudio é gravado. A política de segurança deles também afirma que o Google exclui todos os dados assim que a verificação é concluída. Como sempre, confiar ou não no Google é uma decisão que cabe só a você. Gostaríamos apenas de indicar nossa postagem, “É seguro tirar uma selfie com um documento de identidade?“, que detalha os riscos da verificação biométrica usando fotos de passaporte como exemplo.

Quais são as alternativas para o reCAPTCHA?

Embora o reCAPTCHA do Google ainda seja a principal referência para bloquear bots, a IA está forçando o mundo a se adaptar, e os CAPTCHAs tradicionais estão ficando no passado. Veja um breve resumo de outros serviços e métodos de bloqueio de bots, do ponto de vista da segurança.

Sistemas de análise de comportamento

Uma das formas mais avançadas de proteger um site contra enxames de bots é um sistema de análise comportamental. Esse método avalia automaticamente cada visitante, rastreando movimentos do mouse, padrões de cliques e impressões digitais, para detectar comportamento humano. Mas essa também não é uma solução infalível contra bots: os operadores podem simplesmente treiná-los para imitar padrões de comportamento naturais, permitindo que os bots contornem esse tipo de defesa.

Para os usuários, isso não é exatamente uma boa notícia quando se trata de privacidade. Afinal, ninguém quer que todos os sites na Internet coletem as especificações de seus dispositivos e rastreiem como eles se comportam. Ainda assim, também não podemos chamar isso de vigilância em larga escala, já que a maioria desses sistemas não tenta descobrir quem você realmente é, e seus criadores prometem não armazenar seus dados ou usá-los para fins de marketing. O objetivo principal aqui é, estritamente, descobrir quem acabou de acessar a página: um humano ou um bot.

Turnstile e hCaptcha

Outro grande concorrente do reCAPTCHA é o Cloudflare Turnstile. Ele realiza a verificação de duas maneiras: completamente em segundo plano ou por meio de uma ação mínima do usuário. Você não precisa fazer nada ou apenas marca a caixa de seleção “Eu não sou um robô”. O principal risco para os usuários aqui está relacionado à engenharia social. Os hackers costumam usar os CAPTCHAs com aparência legítima em sites de phishing. Isso faz com que os usuários tenham uma falsa sensação de segurança e impede que os verificadores de segurança identifiquem páginas maliciosas.

Depois, há o hCaptcha, um serviço com forte foco em segurança que, ao contrário do reCAPTCHA e do Turnstile, não pertence a uma gigante da tecnologia.

Chaves de acesso

De modo geral, todos os métodos e serviços mencionados até agora seguem o mesmo esquema: coletam os seus dados, às vezes os armazenam e os usam para outros fins. A principal mudança agora é que eles exigem menos esforço de sua parte. Você não precisa procurar por hidrantes ou acenar com a mão para uma câmera. Mas você pode ir além e eliminar completamente os CAPTCHAs se um site for compatível com chaves de acesso.

Nesta configuração, você não faz login com uma senha; em vez disso, usa chaves criptográficas ativadas por biometria ou um PIN, o que geralmente torna desnecessária uma verificação extra para “provar que você é humano”. Detalhamos o que são exatamente as chaves de acesso, onde funcionam e como usar essa tecnologia na nossa postagem Chaves de acesso em 2025: seu guia completo para login sem senha. Se você quiser armazenar suas chaves de acesso e garantir que elas funcionem perfeitamente em todos os seus dispositivos, nosso gerenciador de senhas resolve isso para você.

Infelizmente, as chaves de acesso não funcionam em situações em que você deseja permanecer anônimo e navegar sem criar uma conta. Por conta disso, elas não conseguem substituir os CAPTCHAs completamente, mas ainda assim facilitam bastante a vida da grande maioria dos usuários.

Como proteger sua privacidade

Do ponto de vista do usuário, não faz muita diferença qual método de proteção contra bots um site decide usar. Sejamos sinceros: você provavelmente não vai sair de uma página só porque ela usa reCAPTCHA ou um sistema de análise comportamental. Além disso, quando se trata de sistemas que funcionam silenciosamente em segundo plano, dificilmente dá para saber que tipo de dados eles coletaram sobre você e seu dispositivo. Mas isso não significa que sua privacidade esteja perdida.

Nossos aplicativos Kaspersky Standard, Kaspersky Plus e Kaspersky Premium para Windows e macOS incluem Navegação privada. O recurso impede que sites de terceiros rastreiem sua atividade online em tempo real. Para privacidade móvel, você pode contar com a Privacidade social (Android , iOS). Além disso, os dispositivos Android com a versão 9 ou posterior incluem o recurso Quem está me espionando disponível em regiões selecionadas. Essa ferramenta detecta stalkerware, verifica tags de rastreamento ocultas e revisa permissões de aplicativos que facilitam a espionagem.

Por fim, nosso gerenciador de senhasprotege você quando um site de phishing usa um CAPTCHA verdadeiro para parecer legítimo, o Kaspersky Password Manager não permitirá o preenchimento automático de nome de usuário e senha na página. Veja o que mais você pode fazer para manter seus dados privados:

• Não insira seus dados em um site só porque ele está protegido por um CAPTCHA. Há muito tempo, golpistas usam reCAPTCHAs, hCaptchas e Turnstiles verdadeiros em páginas de phishing para conquistar a confiança.
• Prefira utilizar chaves de acesso sempre que possível. Elas não funcionam em sites de phishing e reduzem bastante o risco dos dados e padrões de comportamento serem capturados.

Reunimos uma lista essencial de outras tecnologias que estão prestes a desaparecer:

• Quebradas em menos de um minuto: (quase) todas as senhas
• Descanse em Paz, CAPTCHA
• Quando a autenticação de dois fatores é inútil

Passkeys secure authentication but do not prove users are human. Learn how bots operate after login and why modern apps need bot detection, behavioral analysis, and runtime identity.

The post Passkeys vs Bots: Do They Really Solve the Human Verification Problem? appeared first on Security Boulevard.

Em 2022, analisamos em profundidade um método de ataque chamado browser-in-the-browser, originalmente desenvolvido pelo pesquisador de cibersegurança conhecido como mr.d0x. Na época, ainda não havia exemplos reais desse modelo sendo utilizado em ataques. Quatro anos depois, a situação mudou: os ataques browser-in-the-browser deixaram de ser apenas um conceito teórico e passaram a ser utilizados em campanhas reais. Neste artigo, revisitamos o que exatamente é um ataque browser-in-the-browser, mostramos como hackers estão utilizando essa técnica e, principalmente, explicamos como evitar se tornar a próxima vítima.

O que é um ataque browser-in-the-browser (BitB)?

Para começar, vale relembrar o que mr.d0x realmente desenvolveu. A base do ataque surgiu da observação de quão avançadas se tornaram as ferramentas modernas de desenvolvimento Web, como HTML, CSS e JavaScript. Essa constatação levou o pesquisador a conceber um modelo de phishing particularmente sofisticado.

Um ataque browser-in-the-browser é uma forma avançada de phishing que utiliza recursos de design e desenvolvimento Web para criar sites fraudulentos que imitam janelas de login de serviços conhecidos, como Microsoft, Google, Facebook ou Apple, com aparência praticamente idêntica à original. No conceito proposto pelo pesquisador, o atacante cria um site aparentemente legítimo para atrair as vítimas. Uma vez nesse site, o usuário descobre que não pode deixar comentários ou realizar uma compra sem antes fazer login.

O processo parece simples: basta clicar no botão Fazer login com {nome de um serviço popular}. É nesse momento que ocorre o golpe. Em vez de abrir a página real de autenticação do serviço legítimo, o usuário recebe um formulário falso renderizado dentro do próprio site malicioso, que se apresenta visualmente como se fosse… uma janela pop-up do navegador. Além disso, a barra de endereço exibida nessa janela, também renderizada pelos invasores, mostra uma URL aparentemente legítima. Mesmo uma inspeção cuidadosa pode não revelar a fraude.

A partir desse ponto, o usuário desavisado insere suas credenciais Microsoft, Google, Facebook ou Apple nessa janela renderizada, e esses dados são enviados diretamente aos cibercriminosos. Durante algum tempo, esse esquema permaneceu apenas como um experimento teórico do pesquisador de segurança. Hoje, porém, ataques reais já incorporaram essa técnica aos seus arsenais de phishing.

Roubo de credenciais do Facebook

Os atacantes adaptaram o conceito original de mr.d0x. Em ataques recentes do tipo browser-in-the-browser, o golpe começa com e-mails criados para alarmar o destinatário. Em uma campanha de phishing, por exemplo, os criminosos se passaram por um escritório de advocacia informando ao usuário que ele teria cometido uma violação de direitos autorais ao publicar conteúdo no Facebook. A mensagem incluía um link aparentemente legítimo que supostamente levaria à publicação problemática.

Os invasores enviaram mensagens em nome de um escritório de advocacia fictício alegando violação de direitos autorais, acompanhadas de um link que supostamente direcionava ao post problemático no Facebook. Fonte

Curiosamente, para reduzir a desconfiança da vítima, ao clicar no link não era exibida imediatamente uma página falsa de login do Facebook. Em vez disso, o usuário era primeiro apresentado a um CAPTCHA falso da Meta. Somente após “passar” por essa verificação é que a vítima recebia a janela pop-up de autenticação falsa.

Isso não é um pop-up real do navegador, mas um elemento da própria página que imita uma tela de login do Facebook. Esse truque permite que os invasores exibam um endereço aparentemente legítimo. Fonte

Naturalmente, a página falsa de login do Facebook segue o modelo descrito por mr.d0x. Ela é construída inteiramente com ferramentas de desenvolvimento Web para capturar as credenciais da vítima. Enquanto isso, a URL exibida na barra de endereço simulada aponta para o site verdadeiro do Facebook, www.facebook.com.

Como evitar se tornar uma vítima

O fato de golpistas já estarem utilizando ataques browser-in-the-browser demonstra que as técnicas de fraude digital evoluem constantemente. Ainda assim, existe uma forma eficaz de verificar se uma janela de login é legítima. Utilizar um gerenciador de senhas, que funciona como um teste de segurança confiável para sites.

Isso ocorre, porque, ao preencher credenciais automaticamente, o gerenciador de senhas verifica a URL real da página, e não aquilo que parece estar na barra de endereço ou o que a interface visual mostra. Diferentemente de um usuário humano, não é possível enganar um gerenciador de senhas por meio de técnicas como browser-in-the-browser, domínios com pequenas variações ortográficas (typosquatting) ou formulários de phishing ocultos em anúncios e pop-ups. A regra é simples: se o gerenciador de senhas oferecer o preenchimento automático de login e senha, você está em um site para o qual já salvou credenciais. Se ele permanecer silencioso, há um forte indício de que algo está errado.

Além disso, seguir algumas recomendações clássicas de segurança digital ajuda a se proteger contra phishing ou, pelo menos, reduzir os danos caso um ataque seja bem-sucedido:

• Ative a autenticação em dois fatores (2FA) em todas as contas que suportam esse recurso. Idealmente, utilize códigos temporários gerados por um aplicativo autenticador dedicado como segundo fator. Isso ajuda a evitar golpes de phishing que interceptam códigos de confirmação enviados por SMS, aplicativos de mensagem ou e-mail. Leia mais sobre 2FA de código único em nosso post dedicado.
• Utilize chaves de acesso. A opção de login com chave de acesso também pode indicar que você está em um site legítimo. Aprenda tudo sobre o que são chaves de acesso e como começar a usá-las em nossa análise aprofundada sobre essa tecnologia.
• Crie senhas únicas e complexas para todas as contas. Faça o que fizer, nunca reutilize a mesma senha em contas diferentes. Recentemente explicamos em nosso blog o que torna uma senha realmente forte. Gerar combinações únicas, sem precisar memorizá-las, KPMé a melhor opção. Como benefício adicional, também pode gerar códigos temporários para autenticação em dois fatores, armazenar suas chaves de acesso e sincronizar suas senhas e arquivos entre seus diferentes dispositivos.

Por fim, este post serve como mais um lembrete de que ataques teóricos descritos por pesquisadores de cibersegurança frequentemente acabam sendo utilizados em ataques reais. Então, fique de olho no nosso blog, e assine nosso canal no Telegram para se manter atualizado sobre as ameaças mais recentes à sua segurança digital e saber como neutralizá-las.

Leia sobre outras técnicas de phishing criativas que os golpistas estão usando diariamente:

• Phishing e spam: as campanhas mais ousadas de 2025
• O que acontece com os dados roubados em ataques de phishing?
• Como phishers e golpistas usam IA
• Entrega sob encomenda de phishing de pronta propagação
• Phishing progressivo: como os PWAs podem ser usados para roubar senhas