Ferramentas falsas de "segurança" no GitHub infectam mais de 2.000 PCs e roubam criptomoedas
Pesquisadores da Doctor Web identificaram uma campanha que distribui malware através de projetos falsos no GitHub disfarçados de ferramentas de segurança, capaz de desativar antivírus e sequestrar transações de criptomoedas por meio de um clipper que troca endereços de carteira copiados pela vítima. Mais de 2.000 PCs já foram infectados, com o alvo migrando de entusiastas de jogos blockchain para profissionais de segurança da informação.
A Doctor Web descobriu uma campanha em que os atacantes publicam repositórios falsos no GitHub se passando por ferramentas legítimas de segurança (scanners, utilitários de pentest etc.), escondendo código malicioso dentro de arquivos de projetos Visual Studio, Python e Go, muitas vezes camuflado com espaços em branco para escapar de revisão manual. A campanha já comprometeu mais de 2.000 computadores e, de forma irônica, ampliou o alvo de entusiastas de jogos blockchain e donos de carteiras cripto para o próprio público de profissionais de segurança da informação que buscavam essas ferramentas.
Por dentro, o loader principal (identificado como Microsoft.exe) age como uma porta de entrada modular: desativa Windows Defender, UAC e System Restore, e remove antivírus como McAfee, ESET e Malwarebytes antes de baixar módulos adicionais. Um desses módulos é um "clipper", que monitora a área de transferência do Windows e substitui silenciosamente endereços de carteiras de criptomoedas copiados pela vítima por endereços controlados pelo atacante — assim, quando a vítima cola o endereço para enviar fundos, sem perceber transfere o dinheiro para o criminoso. O pacote também rouba dados de navegadores, configurações de FileZilla, MobaXterm e VPNs, tokens do Discord, e inclui o RAT AsyncRAT para acesso remoto e captura de telas.
O ponto de reconhecimento mais importante é a origem: desconfiar de ferramentas de segurança publicadas em repositórios GitHub sem histórico consolidado, poucas estrelas ou mantidos por contas recentes, especialmente se o projeto instrui o usuário a desativar o antivírus "para funcionar corretamente". Antes de compilar ou executar qualquer código de terceiros, vale isolar a execução em sandbox ou máquina virtual. Para quem movimenta criptoativos, o hábito que neutraliza o clipper é simples: sempre conferir visualmente os primeiros e últimos caracteres do endereço colado antes de confirmar qualquer transação, e preferir carteiras que exibem confirmação explícita do endereço de destino.
Quem suspeitar de infecção deve tratar todas as credenciais salvas em navegadores e clientes de FTP/VPN como comprometidas, trocar senhas a partir de um dispositivo limpo, migrar fundos de carteiras cripto usadas na máquina infectada para novas carteiras e revisar tarefas agendadas e itens de inicialização em busca de mecanismos de persistência deixados pelo malware.