Google reforça segurança do Chrome contra ClickFix e ligações HTTP

A Google anunciou novas funcionalidades de segurança para o Chrome, destinadas a reforçar a proteção contra ataques de engenharia social, phishing e outras fraudes online. As alterações incluem a deteção de comandos utilizados em ataques ClickFix, a análise de websites suspeitos através do Gemini e um novo sistema de avisos que distingue páginas potencialmente fraudulentas de sites identificados como perigosos.

A empresa alargou também a proteção contra ligações HTTP não encriptadas, passando a solicitar autorização antes de estabelecer uma ligação a estes websites. A funcionalidade, anteriormente disponibilizada aos utilizadores do modo Enhanced Protection, está agora ativada por defeito para todos os utilizadores do Chrome.

As novas medidas procuram responder à evolução das técnicas utilizadas pelos atacantes, que recorrem cada vez mais à manipulação dos utilizadores para contornar os mecanismos tradicionais de segurança dos browsers.

Chrome passa a detetar comandos utilizados em ataques ClickFix

Uma das principais novidades é a introdução de mecanismos de deteção de ataques ClickFix, uma técnica de engenharia social que procura convencer os utilizadores a copiar e executar comandos maliciosos nos seus próprios dispositivos.

Nestes ataques, as vítimas são habitualmente confrontadas com mensagens fraudulentas que apresentam um problema técnico ou uma ação necessária para continuar a utilizar determinado serviço. As instruções levam o utilizador a copiar um comando e a executá-lo manualmente, frequentemente através de ferramentas legítimas do sistema operativo, como o PowerShell.

Ao contrário dos ataques que envolvem o descarregamento direto de malware através do browser, o ClickFix utiliza a interação do utilizador para iniciar a execução de comandos. Como o descarregamento do malware pode ocorrer através do terminal, os mecanismos de proteção associados aos downloads do Chrome podem não ser acionados.

Para responder a esta técnica, o Chrome passa a identificar situações em que os utilizadores do modo Enhanced Protection são induzidos a copiar comandos potencialmente perigosos.

Quando é detetado um possível script ClickFix, o conteúdo copiado para a área de transferência é analisado pelo Safe Browsing. Antes do envio, são removidas informações pessoais identificáveis, sendo posteriormente apresentada uma mensagem de aviso caso a análise conclua que o comando representa um perigo.

Segundo a Google, o mecanismo foi desenvolvido para apresentar uma elevada precisão na identificação de ameaças, procurando reduzir os falsos positivos e evitar interferências desnecessárias em atividades legítimas, nomeadamente as realizadas por programadores.

Gemini passa a analisar websites suspeitos nos servidores da Google

A Google está também a reforçar a utilização de Inteligência Artificial (IA) na identificação de fraudes online, através de uma nova implementação do Gemini integrada no Safe Browsing.

A funcionalidade de deteção de fraudes baseada em IA foi introduzida no ano passado, com processamento local nos dispositivos compatíveis. Inicialmente, estava direcionada sobretudo para esquemas fraudulentos de suporte técnico e limitada aos utilizadores do modo Enhanced Protection.

Com a nova atualização, a análise passa a ser realizada nos servidores da Google e fica disponível para todos os utilizadores que tenham o Enhanced Protection ativado, independentemente das limitações de processamento dos seus dispositivos.

O sistema passa também a identificar outras categorias de ameaças, incluindo páginas que simulam soluções antivírus e websites que apresentam falsas atualizações do browser.

A análise efetuada pelo Gemini considera diferentes elementos da página, como a marca apresentada, a finalidade aparente do website e a probabilidade de se tratar de uma fraude. Estes resultados são posteriormente combinados com a reputação do domínio e outros indicadores de segurança para determinar se o utilizador deve receber um aviso.

A Google esclarece que o conteúdo das páginas apenas é enviado para análise quando existem sinais fortes de atividade fraudulenta. Segundo a empresa, os dados transmitidos são processados temporariamente, não sendo registados, armazenados ou utilizados para treinar modelos de IA.

Safe Browsing introduz novo nível de aviso para sites suspeitos

Outra alteração diz respeito ao sistema de avisos apresentado pelo Chrome quando os utilizadores tentam aceder a websites potencialmente perigosos.

Até agora, o Safe Browsing recorria sobretudo a um aviso de página perigosa quando identificava um website malicioso. Com a atualização, passa a existir uma distinção entre sites perigosos e sites suspeitos, seguindo uma abordagem semelhante à já utilizada na classificação de ficheiros descarregados.

Quando o Safe Browsing apresenta um elevado grau de confiança de que uma página é maliciosa, o Chrome continua a mostrar o aviso vermelho que ocupa todo o ecrã.

O novo nível de aviso destina-se a páginas sobre as quais existem indícios de comportamento fraudulento, mas sem evidências suficientes para uma classificação definitiva como perigosas.

Segundo a Google, esta distinção permite aumentar o número de avisos apresentados aos utilizadores, sem aplicar o mesmo nível de bloqueio a todas as situações suspeitas.

As funcionalidades de análise com Gemini e de deteção de ClickFix integram o modo Enhanced Protection, introduzido em 2020. A Google revelou no ano passado que mais de mil milhões de utilizadores do Chrome tinham ativado esta modalidade de proteção.

A empresa afirma que os utilizadores do Enhanced Protection estão dez vezes mais protegidos contra Phishing, engenharia social, abuso de notificações e outras fraudes, comparativamente aos que utilizam o modo Standard Protection.

Contudo, esta estimativa baseia-se no número médio de avisos de segurança recebidos pelos utilizadores de cada modalidade, não correspondendo a uma medição direta da redução de incidentes ou de comprometimentos.

Chrome passa a pedir autorização antes de estabelecer ligações HTTP

A Google anunciou ainda a ativação, por defeito, de uma funcionalidade que apresenta avisos antes de o Chrome estabelecer ligações a websites através de HTTP não encriptado.

A medida pretende reduzir os riscos associados à transmissão de dados através de ligações que não utilizam HTTPS, nas quais o tráfego pode ser intercetado ou alterado por terceiros com acesso ao percurso da comunicação.

Anteriormente, o Chrome apresentava a indicação «Não seguro» quando o utilizador acedia a uma página HTTP. No entanto, a Google considera que este mecanismo é insuficiente, uma vez que os indicadores passivos podem passar despercebidos e apenas surgem depois de a ligação já ter sido estabelecida.

Além disso, ligações HTTP de curta duração, utilizadas por exemplo em determinados redirecionamentos, podem não chegar a apresentar essa indicação.

Com a nova abordagem, o Chrome solicita autorização antes do primeiro acesso a um website HTTP. Depois de o utilizador aprovar a ligação, o browser deixa de apresentar o aviso para esse site, voltando a fazê-lo caso não exista qualquer visita durante um período de, pelo menos, duas semanas.

A funcionalidade tinha sido disponibilizada anteriormente aos utilizadores do Enhanced Protection, tendo agora sido alargada a todos os utilizadores do browser.

Ligações locais ficam excluídas dos avisos por defeito

A Google esclarece que os avisos não são apresentados, por defeito, em determinadas ligações que não podem utilizar certificados HTTPS reconhecidos publicamente.

Entre as exceções encontram-se endereços IP locais e nomes de dispositivos utilizados em redes internas. Segundo a empresa, estes ambientes apresentam geralmente um risco inferior ao das ligações HTTP públicas, uma vez que um atacante teria normalmente de estar presente na mesma rede local para conseguir interferir na comunicação.

Os primeiros dados da implementação indicam que cerca de 95% dos utilizadores da versão desktop do Chrome não encontram qualquer aviso HTTP durante uma semana. Menos de 1% recebe três ou mais avisos no mesmo período, sendo a frequência ainda menor nos dispositivos móveis.

A Google considera que estes resultados demonstram que a maioria da navegação já utiliza ligações encriptadas, permitindo introduzir avisos preventivos sem afetar significativamente a experiência dos utilizadores.

A empresa afirma que o Chrome é o primeiro browser a adotar esta abordagem por defeito e espera que outros fornecedores implementem mecanismos semelhantes.

Com estas alterações, a Google procura reforçar a proteção em duas frentes: a identificação de ataques que exploram o comportamento dos utilizadores, como o ClickFix, e a prevenção de riscos associados a ligações Web não encriptadas. A estratégia combina mecanismos tradicionais de reputação e análise de ameaças com modelos de IA e avisos preventivos, procurando detetar situações de risco antes de estas resultarem na execução de comandos maliciosos ou na exposição de dados.