A gigante europeia de adtech Adform foi alvo de um grave ataque à cadeia de abastecimento que infetou os seus scripts de publicidade com código malicioso concebido para desviar pagamentos em criptomoedas. A falha comprometeu temporariamente a segurança de milhares de páginas Web que dependem da plataforma para exibir anúncios digitais.
De acordo com os detalhes partilhados pelo portal DoublePulsar, a atividade criminosa foi identificada pelo investigador de segurança Kevin Beaumont. O especialista descobriu que o ficheiro trackpoint-async.js, um script de rastreio em JavaScript alojado nos servidores oficiais da Adform, foi adulterado para injetar um malware especializado no roubo de ativos digitais.
Como funcionava o roubo de criptomoedas
O script modificado tinha a capacidade de monitorizar continuamente a área de transferência (clipboard) dos utilizadores enquanto estes navegavam pelos sites afetados. Caso detetasse o fluxo de caracteres correspondente a uma carteira de Bitcoin, Ethereum ou TRON, o código substituía-o automaticamente pelo endereço de uma carteira controlada pelos atacantes.
Além de intercetar a área de transferência, a ameaça conseguia reescrever os endereços das carteiras exibidos visualmente nas próprias páginas Web. Isto significa que, se um utilizador tentasse fazer uma transferência copiando o código ou lendo o endereço diretamente no ecrã de um site focado em pagamentos, os fundos seriam desviados para os cibercriminosos.
O script comunicava ainda com um servidor remoto, enviando dados confidenciais como o endereço IP da vítima e o URL do site visitado. Curiosamente, as análises iniciais na plataforma VirusTotal revelaram que nenhum motor de antivírus tradicional conseguiu detetar o ficheiro como malicioso no arranque da campanha.
Resposta da plataforma e recomendações
A Adform confirmou ter detetado a ameaça no dia 27 de julho de 2026, tendo removido o código intruso pouco tempo após a sua descoberta. Em comunicado, a tecnológica esclareceu que o script operava apenas em memória enquanto a página Web permanecia aberta, não instalando qualquer aplicação persistente no telemóvel ou computador dos utilizadores afetados.
A empresa informou diretamente os clientes lesados e garantiu que a plataforma já se encontra segura para utilização. No entanto, os registos apontam que o ataque esteve ativo por cerca de uma semana antes da mitigação, com amostras identificadas desde a madrugada de 27 de julho de 2026, considerando o fuso horário de Portugal Continental. Para os utilizadores que visitaram sites associados à rede da Adform durante o período crítico, a recomendação oficial passa por limpar os cookies e a cache do navegador para assegurar a eliminação completa de qualquer vestígio do código.
Nenhum comentário
Seja o primeiro!