VietCredCare e DuckTail: dentro do mercado vietnamita de dados roubados por infostealers
Pesquisadores da Group-IB compararam duas famílias de infostealers vietnamitas, VietCredCare e DuckTail, que sequestram contas comerciais do Facebook para fraude publicitária e revenda de acessos. A análise ocorre após a prisão de mais de 20 pessoas em maio de 2024 ligadas a essas campanhas, mas mostra que apenas um dos grupos parece ter sido afetado pela operação policial. O caso ilustra como o roubo de credenciais de contas de anúncio virou um negócio criminoso estruturado e resiliente.
Group-IB publicou um comparativo técnico entre VietCredCare e DuckTail, dois infostealers atribuídos a operadores vietnamitas especializados em roubar credenciais e cookies de sessão de contas Business do Facebook. O relatório vem meses depois da prisão de mais de 20 pessoas na Vietnã, em maio de 2024, por operarem campanhas de infostealer voltadas a anunciantes. Segundo a pesquisa, a prisão parece ter afetado principalmente a operação do VietCredCare, enquanto o ecossistema do DuckTail seguiu ativo, sinal de que se trata de grupos distintos com estruturas e alvos parcialmente sobrepostos mas não idênticos.
Ambos os malwares dependem quase inteiramente de engenharia social: o VietCredCare se disfarça de arquivos comuns de escritório (Excel, Word, PDF/Acrobat) distribuídos por Messenger, WhatsApp e e-mail, enquanto o DuckTail vai além, montando abordagens de spear-phishing profissional via LinkedIn e WhatsApp, hospedando os payloads em serviços legítimos como Dropbox, Mega e OneDrive para escapar de filtros de reputação. Uma vez executado, o malware extrai cookies de sessão e credenciais salvas no navegador, focando especificamente em contas Business do Facebook — que dão acesso a orçamentos de anúncio, métodos de pagamento e páginas administradas. Os dados são exfiltrados via API do Telegram, um canal difícil de bloquear porque se mistura a tráfego legítimo.
A monetização é o que torna esse esquema uma fraude e não só um roubo de dados: as contas sequestradas são vendidas no atacado como "dados brutos" para outros criminosos, ou usadas diretamente para veicular anúncios fraudulentos e financiar lojas online falsas, sugando o limite de crédito ou saldo vinculado à conta da vítima antes que ela perceba a invasão.
Para empresas que gerenciam contas de anúncio, os pontos práticos são: nunca abrir anexos do tipo Office/PDF recebidos por chat corporativo sem verificação fora de banda; ativar MFA robusto (idealmente via chave de segurança, não SMS) nas contas Business Manager; revisar periodicamente sessões ativas e tokens de aplicativos conectados à conta de anúncios; e monitorar gastos publicitários fora do padrão como sinal precoce de comprometimento.