Uma nova versão do Python NodeStealer foi detectada pelos pesquisadores do Netskope Threat Labs. Esse malware rouba senhas do Facebook, grava o que o usuário digita e captura imagens da tela. A variante também ampliou o volume de informações coletadas na rede social e passou a incluir, no alvo, os perfis responsáveis pela administração das contas.
Os dados furtados são encaminhados a dois bots no Telegram. Um deles recebe credenciais, senhas e cookies salvos nos navegadores, enquanto o outro concentra as informações recolhidas do Facebook.
O programa ainda busca senhas de redes Wi-Fi, arquivos na pasta de imagens e dados armazenados em outros dois navegadores.
Com esse leque ampliado de funções, o NodeStealer passou a exibir características de spyware, categoria de código malicioso que observa as atividades no dispositivo e reúne informações sem que o usuário perceba.
Malware amplia acesso a dados do Facebook
- A nova variante ampliou o uso da Graph API do Facebook. Nas versões anteriores, o malware consultava apenas dois pontos da plataforma;
- Agora são mais de 20 pontos de consulta, chamados de endpoints;
- Dessa forma, a ameaça obtém dados sobre identidade dos usuários, amigos, publicações, páginas administradas, campanhas publicitárias, atividades comerciais e segurança das contas;
- Os pesquisadores afirmam que as informações podem ser usadas para assumir contas em diferentes plataformas, aplicar golpes com a identidade das vítimas e elevar o valor dos dados para revenda.
Sinais de uso de inteligência artificial
Os pesquisadores do Netskope Threat Labs também encontraram indícios de que as novas funções do NodeStealer possam ter sido criadas com auxílio de inteligência artificial.
Entre os sinais estão o uso frequente de emojis nos registros do programa e a presença de chamadas de código com estrutura parecida, características que não apareciam nas amostras anteriores.
Na avaliação da equipe, esses elementos são compatíveis com a produção de código assistida por modelos de linguagem.
Concentração de vítimas na Ásia e na América do Norte
As vítimas mapeadas estavam majoritariamente na Ásia e na América do Norte. Os ataques afetaram diferentes setores, com maior incidência sobre o setor de serviços financeiros.
Claudio Bannwart, country manager da Netskope no Brasil, avalia que o potencial de alcance da ameaça demanda atenção também de usuários e empresas brasileiras.
“Esse tipo de ameaça pode atingir contas em qualquer lugar do planeta e merece atenção igualmente no Brasil. Para os usuários, a prevenção deve incluir autenticação multifatorial, revisão periódica dos acessos ativos e atenção a atividades não reconhecidas. Para as empresas, é fundamental determinar quem realmente necessita de permissões administrativas e acompanhar a utilização dessas contas. Quanto maior o acesso a dados e recursos, maior precisa ser a capacidade de controle”, alerta Bannwart.
O relatório completo sobre a nova variante do Python NodeStealer está disponível no site do Netskope Threat Labs.
