Falhas em catálogos de programação espalham vírus que rouba senhas e sequestra contas no WhatsApp

Especialistas em segurança digital do laboratório OpenSourceMalware e da empresa SafeDep identificaram uma onda de golpes virtuais voltados contra programadores .

O alvo dos criminosos foram os catálogos públicos da internet em que profissionais de tecnologia buscam peças prontas de código para montar sites, sistemas e aplicativos.

No catálogo RubyGems , a campanha mais recente ganhou o nome de “StubMaker”.

Invasores criaram 16 ferramentas falsas com títulos muito parecidos com os de extensões famosas, publicaram os pesquisadores.

A estratégia aposta no erro de digitação de quem trabalha rápido: diante de um simples deslize no teclado, o sistema baixa o arquivo malicioso no lugar do original.

De acordo com o OpenSourceMalware, esses arquivos falsificados colocavam um programa espião dentro de computadores que usam o sistema Windows .

Uma vez dentro da máquina, o vírus fazia uma varredura completa em navegadores de internet para roubar senhas guardadas, números de cartão de crédito e históricos de navegação, além de desviar dados do aplicativo Telegram e chaves de carteiras de criptomoedas.

Esquema explicado sobre malware (Reprodução/OpenSource Malware) “Esse novo malware coleta credenciais de navegadores, carteiras de criptomoedas, frases de recuperação e dados do Telegram.

Todos os pacotes maliciosos do RubyGems parecem ser erros grosseiros de digitação de ferramentas populares”, afirmou o pesquisador de segurança Paul McCarty, também conhecido no meio técnico como 6mile.

Brechas nas regras do catálogo facilitaram o ataque Para enganar os sistemas de defesa, os invasores criaram arquivos que simulavam uma instalação perfeita enquanto o programa espião operava em segundo plano, direto na memória do computador, sem gravar novos dados no disco rígido para não chamar a atenção dos antivírus comuns.

Os cibercriminosos também se aproveitaram de brechas nas regras da plataforma.

Quando um programa falso é denunciado e apagado do catálogo, o nome dele fica livre para qualquer pessoa registrá-lo outra vez.

Além dessa vulnerabilidade, o sistema não exige comprovação sobre a identidade real do autor, o que permitiu o uso de nomes falsos para passar a impressão de legitimidade.

“Quando uma das extensões maliciosas foi retirada do ar, o invasor conseguiu criar uma nova conta de proprietário e publicar uma nova versão sob o mesmo nome de pacote.