Especialistas em segurança digital do laboratório OpenSourceMalware e da empresa SafeDep identificaram uma onda de golpes virtuais voltados contra programadores. O alvo dos criminosos foram os catálogos públicos da internet em que profissionais de tecnologia buscam peças prontas de código para montar sites, sistemas e aplicativos.
No catálogo RubyGems, a campanha mais recente ganhou o nome de “StubMaker”. Invasores criaram 16 ferramentas falsas com títulos muito parecidos com os de extensões famosas, publicaram os pesquisadores. A estratégia aposta no erro de digitação de quem trabalha rápido: diante de um simples deslize no teclado, o sistema baixa o arquivo malicioso no lugar do original.
smart_display
Nossos vídeos em destaque
De acordo com o OpenSourceMalware, esses arquivos falsificados colocavam um programa espião dentro de computadores que usam o sistema Windows. Uma vez dentro da máquina, o vírus fazia uma varredura completa em navegadores de internet para roubar senhas guardadas, números de cartão de crédito e históricos de navegação, além de desviar dados do aplicativo Telegram e chaves de carteiras de criptomoedas.
“Esse novo malware coleta credenciais de navegadores, carteiras de criptomoedas, frases de recuperação e dados do Telegram. Todos os pacotes maliciosos do RubyGems parecem ser erros grosseiros de digitação de ferramentas populares”, afirmou o pesquisador de segurança Paul McCarty, também conhecido no meio técnico como 6mile.
Brechas nas regras do catálogo facilitaram o ataque
Para enganar os sistemas de defesa, os invasores criaram arquivos que simulavam uma instalação perfeita enquanto o programa espião operava em segundo plano, direto na memória do computador, sem gravar novos dados no disco rígido para não chamar a atenção dos antivírus comuns.
Os cibercriminosos também se aproveitaram de brechas nas regras da plataforma. Quando um programa falso é denunciado e apagado do catálogo, o nome dele fica livre para qualquer pessoa registrá-lo outra vez. Além dessa vulnerabilidade, o sistema não exige comprovação sobre a identidade real do autor, o que permitiu o uso de nomes falsos para passar a impressão de legitimidade.
“Quando uma das extensões maliciosas foi retirada do ar, o invasor conseguiu criar uma nova conta de proprietário e publicar uma nova versão sob o mesmo nome de pacote. O que deveria estar morto para sempre foi revivido para comprometer mais pessoas”, explicou Jenn Gile, cofundadora do OpenSourceMalware, ao portal The Hacker News.
)
){kind=link}
Todas as informações capturadas eram reunidas em uma pasta compactada com senha, enviadas a um site de armazenamento de arquivos na nuvem e o link de acesso caía direto nas mãos dos golpistas.
Sequestro de canais no WhatsApp atinge outra plataforma popular
Outra série de fraudes apareceu no npm, o maior catálogo de códigos para sistemas de internet do mundo. Conforme relatório divulgado pela empresa de segurança SafeDep, os criminosos clonaram e adulteraram uma ferramenta muito usada para criar robôs de atendimento no WhatsApp.
Ao invés de roubarem senhas de imediato, essas cópias alteradas usavam a conta ativa do desenvolvedor para forçar o perfil dele a seguir canais controlados pelos golpistas, sem nenhum pedido de autorização. O programa ainda silenciava as notificações dessas páginas para que o usuário não notasse a inscrição forçada.
Outras versões alteradas colocavam links de anúncios em todas as fotos e vídeos disparados pelo robô e chegavam a travar o atendimento após o envio de mensagens automáticas. A SafeDep confirmou que, pelo menos, 70 ferramentas derivadas desse recurso do WhatsApp e outras 15 extensões auxiliares espalharam esse tipo de abuso.
)
Em um teste paralelo registrado pela empresa, foram descobertos ainda 21 arquivos que usavam nomes parecidos com comandos internos do Google para tentar forçar computadores corporativos a baixarem códigos não oficiais durante o trabalho de rotina. “Nenhuma das mitigações padrão contra confusão de dependências cobre essa brecha”, alertou a equipe da SafeDep em relatório oficial.
Todas as ferramentas fraudulentas identificadas pelos relatórios foram retiradas do ar pelas plataformas. Os autores recomendam que os desenvolvedores confiram com atenção cada comando digitado na instalação de programas, façam uma revisão completa nos códigos de seus projetos e troquem senhas e chaves digitais caso tenham baixado algum dos itens suspeitos.
Por falar em vulnerabilidades do universo digital, ciberespiões atualizaram vírus para invadir órgãos públicos e driblar defesas do Windows. Siga o TecMundo no X, Instagram, Facebook e YouTube e assine a nossa newsletter para receber as principais notícias e análises diretamente no seu e-mail.