O Netskope Threat Labs identificou uma nova variante do Python NodeStealer com recursos ampliados para coleta de informações do Facebook e espionagem de usuários. O malware passou a reunir dados sobre os responsáveis pela administração das contas, além de registrar teclas digitadas, monitorar a área de transferência e realizar capturas de tela.
Os dados coletados são enviados por meio de dois bots do Telegram. Um deles recebe credenciais, senhas e cookies armazenados nos navegadores, enquanto o segundo concentra informações extraídas do Facebook. A ameaça também procura senhas de redes Wi-Fi, arquivos armazenados na pasta de imagens e dados de outros dois navegadores.
Malware amplia coleta de dados do Facebook
Com a expansão dos recursos, o NodeStealer passou a apresentar características de spyware, categoria de malware utilizada para monitorar atividades em dispositivos e coletar informações sem o conhecimento do usuário.
A nova versão também ampliou o uso da Graph API do Facebook. Segundo a análise do Netskope Threat Labs, enquanto versões anteriores consultavam apenas dois endpoints da plataforma, a nova variante acessa mais de 20.
Entre os dados buscados estão informações sobre identidade, amigos, publicações, páginas administradas, campanhas publicitárias, atividades comerciais e segurança das contas. De acordo com os pesquisadores, essas informações podem ser utilizadas para assumir o controle de contas, aplicar golpes em nome das vítimas e aumentar o valor dos dados para revenda.
Pesquisadores apontam possível uso de inteligência artificial
A análise também identificou indícios de que parte das novas funcionalidades pode ter sido desenvolvida com auxílio de inteligência artificial. Entre os elementos observados estão o uso sistemático de emojis nos registros do programa e estruturas semelhantes nas chamadas de código, características que não apareciam nas amostras anteriores.
Para os pesquisadores, esses elementos são compatíveis com código produzido com assistência de modelos de linguagem, embora a análise trate esses sinais como indícios.
As vítimas identificadas estavam principalmente na Ásia e na América do Norte, distribuídas por diferentes setores da economia. O setor de serviços financeiros apresentou a maior concentração de casos.
“Esse tipo de ameaça pode afetar contas em qualquer parte do mundo e exige atenção também no Brasil. Para os usuários, o cuidado começa com a autenticação multifatorial, a revisão dos acessos ativos e a atenção a atividades que não reconhecem. Para as empresas, é importante definir quem realmente precisa de permissões administrativas e acompanhar o uso dessas contas. Quanto maior o acesso a dados e recursos, maior precisa ser a capacidade de controle”, diz Claudio Bannwart, country manager da Netskope no Brasil.
A análise completa está disponível no Netskope Threat Labs.
