[Fonte única] Quatro sites canadenses de bebidas distribuem KongTuke ClickFix

Em 10 de novembro de 2026, um pesquisador relatou que quatro sites canadenses de bebidas da mesma controladora distribuíam o KongTuke: canadadry.ca, mottsclamato.ca, drinknestea.ca e hydratewithcore.com. Segundo o relato, visitantes aceitos pelo servidor viam uma falsa verificação da Cloudflare que copiava um comando ClickFix para execução no Windows.[1]KongTuke ClickFix comes for a Canadian treasure: Canada Dryreddit.com · ectkirk · r/pwnhub · redditAbrir fonte originalVer na lista de fontes

O relato atribui a infecção a um plugin WordPress implantado nos sites. Em três deles, o plugin buscaria o carregador na infraestrutura do operador e o serviria pelo caminho local /asset-cache/fjs, fazendo o navegador do visitante se comunicar apenas com o domínio da marca.[1]KongTuke ClickFix comes for a Canadian treasure: Canada Dryreddit.com · ectkirk · r/pwnhub · redditAbrir fonte originalVer na lista de fontes

O risco não se limita ao truque visual. De acordo com o pesquisador, o carregador enviava, antes de qualquer seleção do visitante, cookies acessíveis por scripts e valores do armazenamento cujos nomes parecessem ligados a autenticação, como token, jwt, auth, session e csrf.[1]KongTuke ClickFix comes for a Canadian treasure: Canada Dryreddit.com · ectkirk · r/pwnhub · redditAbrir fonte originalVer na lista de fontes

Quem encontrar essa suposta verificação não deve executar o comando oferecido nem colá-lo no Windows. Essa é a precaução direta sugerida pelo funcionamento descrito: a página tentaria induzir a vítima a iniciar um comando com ftp e cmd em uma janela minimizada.[1]KongTuke ClickFix comes for a Canadian treasure: Canada Dryreddit.com · ectkirk · r/pwnhub · redditAbrir fonte originalVer na lista de fontes

A única evidência fornecida descreve os quatro domínios, a coleta de dados, a isca e mudanças de infraestrutura. Ela não estabelece quem implantou o plugin, quantas pessoas receberam ou executaram o comando, quais dados chegaram ao operador, nem se os sites já foram corrigidos.[1]KongTuke ClickFix comes for a Canadian treasure: Canada Dryreddit.com · ectkirk · r/pwnhub · redditAbrir fonte originalVer na lista de fontes

O autor da publicação afirma que os quatro sites pertencem à mesma controladora e caracteriza a atividade como KongTuke ClickFix. Ele também diz que o servidor FTP usado no comando mudou de report-ftp.wiki para yelahaye.surf durante a tarde de 10 de novembro.[1]KongTuke ClickFix comes for a Canadian treasure: Canada Dryreddit.com · ectkirk · r/pwnhub · redditAbrir fonte originalVer na lista de fontes

A cronologia alegada começa antes de novembro. Varreduras públicas teriam mostrado Mott's Clamato e Nestea carregando KongTuke de monteiro.click em 17 de julho de 2026. O site da Core teria passado por quatro hosts externos desde setembro, enquanto o Canada Dry aparecia limpo em 16 de julho e começou a servir /asset-cache/fjs em 29 de outubro.[1]KongTuke ClickFix comes for a Canadian treasure: Canada Dryreddit.com · ectkirk · r/pwnhub · redditAbrir fonte originalVer na lista de fontes

1 grupos independentes, 1 atualizações e 0 interações. Comunidades observadas: r/pwnhub.

Há duas rotas técnicas descritas. Três sites serviriam o carregador pelo próprio domínio em /asset-cache/fjs. Já hydratewithcore.com carregaria um script de battaglia.lol por uma tag associada ao plugin “Web Media Optimizer”, identificado como wm.zip. A etapa ClickFix copiaria um comando que encadeia ftp e cmd e abre o processo minimizado.[1]KongTuke ClickFix comes for a Canadian treasure: Canada Dryreddit.com · ectkirk · r/pwnhub · redditAbrir fonte originalVer na lista de fontes

Este boletim se apoia em uma única publicação no Reddit, escrita pelo pesquisador que também aponta para um relatório externo. Como o relatório, as capturas, os comandos completos e as varreduras mencionadas não foram fornecidos separadamente no lote, as conclusões técnicas e a atribuição a KongTuke permanecem alegações dessa fonte, não verificações independentes.[1]KongTuke ClickFix comes for a Canadian treasure: Canada Dryreddit.com · ectkirk · r/pwnhub · redditAbrir fonte originalVer na lista de fontes