Doublecup

Um novo serviço de loader como serviço (LaaS) russo, denominado DOUBLECUP, tem utilizado iscas ClickFix para infiltrar imagens PNG maliciosas no cache do navegador das vítimas, levando à entrega de um trojan de acesso remoto (RAT) chamado DeviceManager e do CountLoader. O ataque começa com a inserção de uma imagem PNG esteganográfica no cache do navegador, que, ao ser acessada, executa um código malicioso. O DOUBLECUP, ativo desde junho de 2026, oferece aos operadores licenças e um cliente para criar campanhas de ataque, permitindo múltiplas operações por licença. Os operadores podem injetar código frontend em suas páginas ClickFix para ativar o malware, que utiliza técnicas de ofuscação e chaveamento ambiental para evitar detecções. O CountLoader e o DeviceManager têm funcionalidades avançadas, como a coleta de metadados do sistema e a comunicação com servidores de comando e controle (C2) via técnicas como DNS tunneling. O uso de contratos inteligentes no Ethereum para resolver a infraestrutura C2 destaca a sofisticação do ataque. A natureza modular e a capacidade de adaptação do malware representam uma ameaça significativa para usuários e empresas, especialmente em um cenário onde a engenharia social é cada vez mais prevalente.

Um novo serviço de loader russo chamado DOUBLECUP tem utilizado ataques ClickFix para esconder códigos maliciosos em imagens PNG armazenadas no cache dos navegadores das vítimas. Desde junho de 2026, o DOUBLECUP tem fornecido ferramentas para a criação de campanhas maliciosas, permitindo a entrega de dois tipos de malware: CountLoader, que afeta dispositivos Windows e macOS, e um novo trojan de acesso remoto chamado DeviceManager, direcionado a sistemas Windows. O serviço cuida da infraestrutura necessária para os ataques, incluindo o gerenciamento de imagens esteganográficas e a construção automática de cargas úteis. Os operadores que utilizam o DOUBLECUP são responsáveis por criar e hospedar os sites que exibem prompts ClickFix, que induzem as vítimas a executar comandos maliciosos. A pesquisa da SOCRadar revelou que campanhas do DOUBLECUP têm utilizado falsos CAPTCHAs em páginas de login de plataformas conhecidas, como NetSuite e Salesforce, para enganar os usuários. Uma vez executado, o malware pode coletar informações do sistema e estabelecer persistência através de tarefas agendadas. O uso de técnicas de esteganografia torna esses ataques mais difíceis de detectar, representando uma ameaça significativa para usuários e empresas.