Ferramentas falsas de seguranca no GitHub escondem backdoor e infostealer com troca de endereco de carteira cripto

A campanha usa repositorios no GitHub que se apresentam como ferramentas legitimas de seguranca -- por exemplo, um "analisador leve" para o scanner de rede Fscan -- para atrair justamente o publico que teoricamente saberia reconhecer codigo suspeito: pentesters e profissionais de ciberseguranca. O codigo malicioso fica oculto em arquivos de projeto do Visual Studio e em scripts, escondido apos longas sequencias de espacos em branco, o que dificulta a deteccao em uma revisao visual rapida. A partir dai um carregador baseado em Electron (identificado como Microsoft.exe) estabelece persistencia, desativa protecoes do Windows Defender e injeta o payload final em processos legitimos do sistema.

O dano financeiro concreto vem do modulo "clipper": o malware monitora a area de transferencia do Windows e, quando detecta um endereco de carteira de criptomoeda copiado pela vitima, substitui-o silenciosamente pelo endereco do atacante. Como a maioria dos usuarios cola o endereco sem conferir caractere a caractere, a transferencia de fundos vai direto para a carteira do criminoso, sem qualquer interacao adicional. Em paralelo, o infostealer coleta tokens de sessao do Discord, dados salvos no navegador, configuracoes de VPN e credenciais de clientes FTP, exfiltrando tudo via bots do Telegram -- um canal de comando e controle barato e dificil de bloquear por filtros tradicionais de rede corporativa.

O ponto de atencao pratico e que a defesa aqui nao e so tecnica, e comportamental: nunca executar ferramentas baixadas do GitHub sem revisar o codigo-fonte linha a linha (prestando atencao especial a espacamentos ou caracteres invisiveis anormais) e, idealmente, testar em maquina virtual isolada antes de rodar em ambiente de producao ou pessoal. Para quem movimenta criptoativos, o habito que neutraliza o clipper e simples: sempre confirmar visualmente os primeiros e os ultimos caracteres do endereco colado antes de confirmar o envio, ou usar carteiras de hardware que exibem o endereco completo na tela do dispositivo, fora do alcance do malware.

Quem suspeitar de comprometimento deve tratar como incidente de conta: revogar e gerar novos tokens do Discord, trocar senhas de VPN e FTP, revisar o historico de transacoes cripto recentes em busca de destinos nao reconhecidos, e rodar uma varredura completa de EDR/antivirus com atencao a processos mascarados com nomes do sistema (como Microsoft.exe). Dado que o infostealer tambem coleta dados de login genericos, convem assumir contas corporativas e pessoais como potencialmente expostas e acionar MFA adicional onde ainda nao estiver ativo.