Ícones de Apps Famosos Viram Armadilha em Nova Onda de Malware no Firefox

Uma nova campanha maliciosa, batizada de GhostPoster, está afetando usuários do Firefox. Essa operação usa logos de 17 extensões legítimas do navegador para disseminar um malware que rastreia as vítimas e comete fraudes. As extensões foram baixadas mais de 50 mil vezes antes de serem desativadas e foram usadas por criminosos para sequestrar links de afiliados e injetar código de rastreamento.

Os hackers utilizam logos de VPNs, bloqueadores de anúncio, versões falsas do Google Tradutor e ferramentas de captura de tela para implementar o malware nos dispositivos das vítimas. O pacote malicioso inclui recursos de “modo escuro” e download gratuito de arquivos MP3, que ajudam a propagar um payload que rastreia toda a atividade do usuário, remove proteções de segurança e executa um backdoor de acesso remoto.

Cadeia de Ataques

O processo de infecção começa quando o usuário instala alguma das 17 extensões comprometidas. Assim que o download é feito, o código malicioso analisa o sistema em busca de um marcador que contenha o sinal “===”, extraindo dessa maneira um código JavaScript que opera como um loader e se conecta a um servidor externo.

Logo que passa a operar de maneira ativa, o malware começa a impulsionar uma série de ações maliciosas no navegador para aplicar golpes e monitorar o comportamento do usuário, como a interceptação de links de afiliados em sites de e-commerce, por exemplo, roubando comissões dos afiliados legítimos.

• O software comprometido também faz uma injeção de rastreamento do Google Analytics para criar perfis falsos.
• Remove recursos de segurança.
• Implementa URLs de servidores controlados pelos hackers para emplacar fraudes com anúncios e cliques.
• Consegue até mesmo enganar CAPTCHAs que detectam bots.

Além disso, o malware é capaz de afetar dispositivos móveis, incluindo o iPhone, tornando-se uma ameaça significativa para a segurança online.

Um ponto de atenção detectado pelos especialistas é que o malware age de maneira furtiva e paciente, promovendo ataques espaçados para evitar ser detectado na rede. O loader, por exemplo, já vem pré-configurado para esperar cerca de 48 horas entre cada tentativa de busca antes de voltar à ativa.

Este conteúdo pode conter links de compra.

Fonte: link