FontPack: a falsa atualização que rouba credenciais e dados de cartão bancário
Pesquisadores da Group-IB destrincharam o esquema FontPack, que injeta scripts maliciosos em sites legítimos comprometidos para exibir avisos falsos de atualização de Flash Player, navegador ou fontes do sistema. Ao clicar, a vítima baixa o infostealer RedLine, que rouba credenciais salvas, dados de autocomplete e informações bancárias armazenadas no navegador. O artigo também faz a atribuição do kit a um ator identificado como DR.PREDATOR, que o distribuiu gratuitamente em fóruns underground.
A Group-IB publicou uma investigação de atribuição sobre o FontPack, um kit de ataque que se disfarça de atualização legítima de software para infectar vítimas com malware ladrão de credenciais e dados bancários. O golpe é particularmente traiçoeiro porque não depende de e-mails de phishing: ele explora sites legítimos que a vítima já visita e confia havia meses, comprometidos previamente pelos atacantes.
Tecnicamente, o esquema funciona através de um script injetado que identifica o navegador e o tipo de dispositivo da vítima (desktop, Android ou até BlackBerry) e escolhe qual pop-up falso exibir — por exemplo, um aviso de que o Flash Player, o navegador ou uma fonte do sistema está desatualizado e precisa ser atualizado. O script controla ainda o momento e a frequência de exibição do aviso, além de suportar múltiplos idiomas para atingir vítimas em diferentes países. Quem clica no botão de atualização baixa, na verdade, o RedLine Stealer, um infostealer que coleta senhas salvas, dados de preenchimento automático e informações de cartões bancários armazenadas em navegadores baseados em Chromium e Gecko, além de credenciais de clientes FTP e mensageiros.
A parte mais interessante da pesquisa é a atribuição: os analistas ligaram múltiplos apelidos usados em fóruns clandestinos a uma única pessoa, com base em contatos de Jabber e Telegram idênticos. O criador original do kit, identificado como DR.PREDATOR, havia liberado o código gratuitamente em 2019 ao encerrar suas próprias operações, o que explica por que o esquema se popularizou entre vários grupos distintos depois disso.
Para o usuário comum, a lição prática é desconfiar de qualquer pop-up de atualização que apareça durante a navegação normal em um site — atualizações legítimas de navegador, Flash Player ou fontes do sistema operacional não são solicitadas dessa forma por sites de terceiros. A recomendação é sempre atualizar softwares apenas pelos canais oficiais (configurações do próprio navegador ou sistema operacional) e manter soluções antimalware ativas, já que o comprometimento ocorre em sites que a própria vítima já considerava confiáveis.