Campanha 'ScreamedJungle' rouba fingerprints de navegador para turbinar fraude em massa
A Group-IB identificou a campanha ScreamedJungle, ativa desde maio de 2024, que injetou scripts maliciosos disfarçados de ferramenta de analytics em mais de 115 lojas Magento para coletar o fingerprint de navegador de visitantes sem consentimento. Os dados coletados — cerca de 200 mil fingerprints italianos por mês em apenas nove sites — são usados por fraudadores para clonar a 'identidade digital' de usuários legítimos e escapar de sistemas antifraude baseados em reconhecimento de dispositivo.
O fingerprint de navegador é um conjunto de características técnicas (fontes instaladas, resolução, dados de canvas, plugins, layout de teclado, entre outros) que, combinadas, formam uma assinatura quase única de cada dispositivo. Bancos e e-commerces usam esse identificador para diferenciar um login legítimo de uma tentativa automatizada, o que o transformou em alvo direto de fraudadores.
Na campanha ScreamedJungle, o código malicioso foi camuflado em comentários HTML como 'Google Finger Analytics' e injetado em lojas Magento vulneráveis, muitas delas nunca corrigidas contra falhas como a CVE-2024-34102. O fingerprint roubado alimenta a ferramenta comercial BrowserAutomationStudio (BAS), cujos módulos FingerprintSwitcher e PerfectCanvas reproduzem byte a byte o canvas de um dispositivo real, enganando mecanismos de detecção baseados em canvas fingerprinting.
Com identidades de dispositivo clonadas, os criminosos automatizam ataques de credential stuffing: importam listas de credenciais vazadas ('combolists'), aplicam o fingerprint roubado a cada tentativa de login, resolvem CAPTCHAs via serviços terceirizados e usam números de telefone descartáveis para burlar verificação por SMS. O resultado é que o sistema antifraude enxerga um 'dispositivo confiável' testando milhares de senhas, e não um bot.
O efeito colateral perverso é que usuários legítimos, cujo fingerprint foi clonado e reutilizado em fraudes, passam a ser bloqueados por engano pelos próprios sistemas de proteção — um problema tanto de segurança quanto de experiência do cliente para instituições financeiras.
Para mitigar o risco, a recomendação é dupla: do lado do site, corrigir vulnerabilidades conhecidas em CMS como Magento, auditar integridade de páginas e monitorar scripts injetados; do lado do usuário e da instituição financeira, combinar MFA resistente a replay, device binding, monitoramento de anomalias na API de Canvas e inteligência de dark web para detectar credenciais comprometidas antes que sejam exploradas em massa.