Malware em português rouba dados através de browser

Uma nova campanha de malware está a visar especificamente utilizadores de língua portuguesa através de um falso erro na abertura de documentos. Identificada pelo WatchGuard Threat Lab, a ameaça instala em segundo plano várias ferramentas maliciosas, culminando numa extensão de browser capaz de monitorizar grande parte da atividade online da vítima.

O ataque começa com um ficheiro aparentemente inofensivo que apresenta a mensagem “Erro ao abrir o documento”, em português. Enquanto o utilizador vê o aviso, é iniciado um processo de instalação de software malicioso sem o seu conhecimento.

Um dos elementos que distingue a campanha é a utilização de um contrato inteligente na rede Ethereum para esconder e atualizar remotamente os endereços da infraestrutura utilizada pelos atacantes. Segundo a WatchGuard, esta abordagem dificulta a deteção e o bloqueio da ameaça pelas equipas de segurança.

Os atacantes recorrem ainda a um programa legítimo e assinado digitalmente para executar o código malicioso, numa tentativa de contornar os mecanismos de deteção das soluções de segurança.

O objetivo final é instalar no Google Chrome e Microsoft Edge uma extensão maliciosa disfarçada de ferramenta de otimização multimédia. Uma vez instalada, pode aceder a cookies e sessões, ler o conteúdo das páginas visitadas, captar imagens do ecrã e registar os dados introduzidos em formulários. A extensão permite ainda receber comandos remotos em tempo real.

“Esta campanha mostra como um simples aviso de erro, escrito em português e por isso mais credível para quem o lê, pode ser o ponto de partida para um ataque muito mais sofisticado do que aparenta”, afirma Fábio Ribeiro, Sales Engineer da WatchGuard em Portugal. O responsável destaca ainda que o browser se tornou um alvo particularmente relevante por concentrar atividades que vão do email ao homebanking.

Para reduzir o risco, a WatchGuard recomenda especial atenção a ficheiros inesperados recebidos por email ou outras mensagens e a avisos de erro associados a documentos de origem duvidosa. Os utilizadores devem também verificar regularmente as extensões instaladas no browser e remover aquelas que não reconheçam.

A fabricante aconselha ainda a manter atualizados o sistema operativo, os browsers e as soluções de segurança, de forma a reduzir a exposição a este tipo de campanhas.