Netskope Threat Labs identificou uma nova variação do Python NodeStealer, que expandiu significativamente sua capacidade de coleta de dados relacionados ao Facebook, passando a reunir informações sobre os administradores das contas.
Além de roubar credenciais, o malware registra tudo o que é digitado pelo usuário, monitora a área de transferência e realiza capturas de tela. As informações coletadas são transmitidas através de dois bots operando no Telegram.
Um desses bots é responsável por receber credenciais, senhas e cookies salvos nos navegadores, enquanto o outro foca nos dados extraídos especificamente do Facebook. A ameaça também busca senhas de redes Wi-Fi, arquivos localizados na pasta de imagens e dados armazenados em mais dois navegadores distintos.
Com essas funcionalidades aprimoradas, o NodeStealer assumiu características de spyware, um tipo de software malicioso projetado para monitorar as ações em um dispositivo e coletar dados sem o consentimento do usuário.
Possível desenvolvimento com auxílio de Inteligência Artificial
A investigação conduzida pelo Netskope Threat Labs também apontou evidências de que as novas funcionalidades do malware podem ter sido criadas com o suporte de inteligência artificial (IA). Sinais observados incluem o uso recorrente de emojis nos registros do programa e a presença de chamadas de código estruturadas de forma similar, características ausentes em amostras anteriores do NodeStealer.
Os pesquisadores consideram esses elementos como compatíveis com código gerado com assistência de modelos de linguagem. As vítimas afetadas foram majoritariamente localizadas na Ásia e na América do Norte, sendo que os ataques atingiram diversos setores, com maior incidência no segmento de serviços financeiros.
Claudio Bannwart, gerente de país da Netskope no Brasil, alertou que o potencial alcance dessa ameaça requer atenção tanto de usuários quanto de empresas brasileiras. Ele enfatizou que este tipo de risco pode impactar contas globalmente, recomendando aos usuários o uso de autenticação multifatorial, a verificação de acessos ativos e a vigilância sobre atividades desconhecidas. Para as corporações, é crucial delimitar quem possui permissões administrativas e fiscalizar o uso dessas contas, pois quanto maior o acesso a recursos e dados, maior deve ser o controle exercido.
A análise detalhada desta nova versão do Python NodeStealer está disponível no Netskope Threat Labs. O artigo original foi publicado inicialmente no Olhar Digital.