Campanha de malvertising descarrega malware "às peças"

Investigadores descobriram uma campanha que faz o download do malware em blocos parciais que são posteriormente combinados pelo browser, para dificultar a detecção.

Uma campanha de malvertising em larga escala está a utilizar páginas falsas que imitam plataformas de criptomoedas e trading distribuir malware através do próprio browser. A parte curiosa é que, em vez de descarregar um ficheiro malicioso directamente, os atacantes recorrem a JavaScript para montar o malware na memória do browser, dificultando a sua detecção.

Segundo os investigadores, a campanha está activa desde o final de 2024 e já foi identificada em 12 países, com especial incidência na região Ásia-Pacífico e na América Latina. Os criminosos utilizam um sistema de filtragem para garantir que apenas potenciais vítimas, como investidores em criptomoedas e traders, são encaminhadas para as páginas maliciosas, enquanto investigadores e sistemas de análise são redirecionados para páginas inofensivas.

O ataque recorre a Service Workers e Shared Workers do browser para descarregar pequenos componentes e reconstruir localmente o ficheiro malicioso. Como o executável final nunca é transmitido na totalidade, cada instalação é feita a partir de um ficheiro único diferenciado, tornando mais difícil a sua detecção por antivírus baseados em assinaturas.

Os investigadores alertam que campanhas anteriores distribuíram malware capaz de roubar passwords, cookies, carteiras de criptomoedas, registar teclas pressionadas, capturar imagens do ecrã e manter acesso persistente ao sistema. Para reduzir o risco, é recomendado que se descarreguem aplicações financeiras e de criptomoedas apenas a partir dos sites oficiais das respectivas empresas, verificando sempre a assinatura digital do instalador antes de o executar.