Uma nova variante do Python NodeStealer passou a consultar mais de 20 pontos da Graph API do Facebook, contra dois nas versões anteriores, de acordo com a análise do Netskope Threat Labs. A mudança amplia o acesso a dados sobre usuários, amigos, publicações, páginas administradas, campanhas publicitárias, atividades comerciais e segurança das contas.
A ameaça também registra teclas digitadas, acompanha a área de transferência e captura imagens da tela. O malware procura ainda senhas de redes Wi-Fi, arquivos na pasta de imagens e informações armazenadas em outros dois navegadores.
Dados enviados por bots
As informações são encaminhadas por meio de dois bots do Telegram. Um recebe credenciais, senhas e cookies armazenados nos navegadores. O outro reúne os dados extraídos do Facebook.
Com esse conjunto de funções, o NodeStealer passa a apresentar características de spyware, programa malicioso que monitora atividades em um dispositivo e coleta informações sem o conhecimento do usuário.
Segundo os pesquisadores, os dados podem ser usados para assumir o controle de contas em diferentes plataformas, aplicar golpes com a identidade das vítimas e elevar o valor das informações para revenda.
Indícios de inteligência artificial
A análise encontrou sinais de que as novas funções podem ter sido desenvolvidas com auxílio de inteligência artificial. Entre os indícios estão o uso sistemático de emojis nos registros do programa e chamadas de código organizadas de forma semelhante. Esses elementos não apareciam nas amostras anteriores do NodeStealer.
Para os pesquisadores, as características são compatíveis com código produzido com assistência de modelos de linguagem.
Alvos identificados
As vítimas estavam principalmente na Ásia e na América do Norte. Os ataques atingiram diferentes setores, com maior concentração em serviços financeiros.
Claudio Bannwart, country manager da Netskope no Brasil, afirma que a ameaça também exige atenção de usuários e empresas brasileiras. “Esse tipo de ameaça pode afetar contas em qualquer parte do mundo e exige atenção também no Brasil”, diz.
Bannwart recomenda autenticação multifatorial, revisão dos acessos ativos e atenção a atividades desconhecidas para usuários. Para empresas, ele destaca a definição de permissões administrativas e o acompanhamento do uso dessas contas.
