A Microsoft encerrou uma operação maliciosa de longa duração na loja de extras do seu navegador, que afetou até 2,6 milhões de instalações. O esquema, apelidado de StegoAd, utilizava 119 extensões aparentemente inofensivas para roubar credenciais e gerar fraude publicitária, segundo os dados partilhados no relatório oficial da equipa do Microsoft Edge.
Tática invisível dentro de ficheiros comuns
O sucesso desta campanha baseou-se numa técnica chamada esteganografia, que consiste em ocultar informação num meio de transporte aparentemente normal. Os piratas informáticos escondiam o código executável dentro de ficheiros de imagem banais e tipos de letra. Nas primeiras variantes, o código JavaScript era colocado no final de ícones PNG, passando completamente despercebido aos sistemas de verificação estática. Com o tempo e o aumento da vigilância, a tática evoluiu para imagens WebP e ficheiros de letra WOFF2.
As extensões visadas eram daquelas que instalamos sem pensar duas vezes: bloqueadores de anúncios, tradutores, serviços de VPN e ferramentas para descarregar vídeos. Cada uma cumpria a sua função prometida e até acumulava avaliações positivas reais. O código malicioso permanecia adormecido durante vários dias após a instalação e só despertava se o utilizador não tivesse as ferramentas de programador abertas, o que permitiu à ameaça sobreviver na loja durante anos.
Roubo de contas e fraude à escala global
Embora o sintoma mais visível fosse a fraude publicitária, com a injeção de anúncios, redirecionamento de pesquisas e o roubo de comissões de afiliados em plataformas de retalho como a Amazon ou o eBay, o verdadeiro perigo operava nos bastidores. A análise aprofundada revelou a presença de uma porta traseira capaz de executar código remoto de forma arbitrária.
Esta infraestrutura permitia aos atacantes roubar palavras-passe de contas Google e códigos de autenticação de dois fatores no exato momento do início de sessão. O esquema extraía ainda credenciais de administradores do WordPress e capturava cookies em massa para desviar sessões ativas. Para monitorizar todo este fluxo sem levantar suspeitas, os operadores usaram IDs de rastreamento do Google Analytics, construindo painéis de controlo em tempo real sobre a infraestrutura da própria gigante das pesquisas.
Como podes proteger os teus dados
Todas as 119 extensões identificadas foram removidas da loja e as contas dos programadores suspensas. A operação está intrinsecamente ligada ao grupo chinês DarkSpectre, conhecido por táticas semelhantes no passado em campanhas focadas noutros navegadores com base Chromium.
Para os utilizadores portugueses, a recomendação prática exige ação imediata: acede à secção de extensões do teu navegador e verifica a lista de componentes instalados. Se alguma extensão tiver desaparecido automaticamente ou se usas um bloqueador de anúncios menos reconhecido no mercado, considera o teu ambiente exposto. O passo seguinte passa pela alteração das tuas palavras-passe principais, especialmente de serviços bancários, lojas online e contas de email, dando sempre preferência à ativação da autenticação de dois fatores através de aplicações ou chaves físicas, que oferecem muito mais resistência a este tipo de roubo do que os tradicionais códigos por SMS.
Nenhum comentário
Seja o primeiro!