Uma vasta campanha de distribuição de malware está a utilizar centenas de falsos repositórios na plataforma de alojamento de código para enganar os utilizadores. Segundo a investigação divulgada pela Arctic Wolf, a operação faz-se passar por projetos legítimos de software e segurança para infetar os sistemas com uma variante do BoryptGrab, uma ameaça desenhada para extrair rapidamente informações sensíveis.
A atividade maliciosa foi identificada pela empresa de cibersegurança após um dos seus próprios produtos ter sido alvo de falsificação a partir de 26 de junho. A estratégia tira partido do tráfego orgânico gerado por pesquisas sobre produtos de segurança, serviços de criptomoedas, ferramentas financeiras, utilitários para programadores e aplicações macOS.
Uma teia de falsificações e confiança cega
Os investigadores descobriram um total de 292 falsos repositórios de GitHub. Cada um destes espaços inclui um ficheiro README que direciona os visitantes para uma página de transferência fraudulenta. Estas páginas de aterragem exibem botões apelativos, como "Download Secure Content", e ostentam selos de confiança falsificados para credibilizar o esquema.
O código das páginas recorre a um modelo único de HTML e JavaScript que se adapta dinamicamente. A página analisa o endereço URL e altera a sua aparência visual para coincidir com a marca que está a ser personificada no momento, substituindo hífenes por espaços e aplicando as maiúsculas adequadas. Este nível de personalização automática aumenta drasticamente a taxa de sucesso da burla entre os utilizadores que procuram descargas gratuitas de ferramentas premium.
O modus operandi da infeção
Quando a vítima clica no botão de transferência, recebe um ficheiro ZIP de grandes dimensões. O nome deste arquivo e o seu conteúdo são alterados aproximadamente a cada minuto para dificultar a deteção pelas ferramentas de segurança. No interior do ficheiro compactado, encontra-se um atualizador WinGUP legítimo e assinado, renomeado conforme o produto falsificado, acompanhado por um ficheiro libcurl.dll adulterado.
A execução faz com que o gup.exe carregue lateralmente a biblioteca DLL maliciosa. Este processo descodifica e executa o infostealer diretamente na memória do sistema operativo. A ausência de mecanismos de persistência indica que o foco dos atacantes é a recolha rápida e massiva de dados numa única execução, desaparecendo de seguida.
Dados na mira e o rasto deixado
A variante do BoryptGrab utilizada nesta campanha é altamente agressiva e apresenta uma capacidade recém-descoberta: consegue contornar a App-Bound Encryption do Chrome através da injeção direta de código no processo do navegador.
O alvo da extração engloba palavras-passe, cookies e informações de pagamento de 19 navegadores web, além de dados provenientes de 32 marcas de carteiras de criptomoedas. A lista de roubo estende-se a sessões do Telegram, tokens do Discord e da Steam, credenciais da aplicação de mensagens Max da Meta, o Gestor de Credenciais do Windows e ficheiros armazenados no Ambiente de Trabalho ou Documentos. As informações do sistema e capturas de ecrã são comprimidas e enviadas para um servidor de comando e controlo sediado na Rússia.
Embora grande parte destes repositórios maliciosos já tenha sido removida, dezenas de redirecionadores mantinham-se ativos à data da publicação da análise. A tática de não apagar o diretório temporário usado durante a exfiltração acaba por deixar provas forenses na máquina infetada, facilitando a investigação, mas o estrago inicial fica concluído em poucos segundos. A recomendação para o mercado e para as empresas tecnológicas portuguesas permanece rigorosa: redobrar a atenção e validar sempre as fontes antes de descarregar qualquer pacote não oficial.
Nenhum comentário
Seja o primeiro!