Uma campanha cibernética identificada pela empresa Doctor Web revelou que criminosos estão utilizando repositórios adulterados no GitHub para infectar computadores. A ação mirava, inicialmente, em entusiastas de jogos em blockchain e usuários de carteiras virtuais, porém expandiu o alcance passou a focar em profissionais de segurança de informação. A equipe de investigação identificou que mais de dois mil dispositivos já foram comprometidos.
Os pesquisadores alertaram, em relatório oficial, sobre a sofisticação da investida: “Os invasores por trás desses projetos de desenvolvimento comprometidos visam entusiastas de jogos em blockchain e (o que o que é mais intrigante) profissionais de segurança da informação”, declararam os analistas, em documento divulgado em 5 de outubro. O GitHub ainda não se pronunciou publicamente sobre o caso.
O esquema começou há dois anos, com a distribuição de projetos do Visual Studio focados em utilitários de jogos e automações. Na época, os criadores do código inseriram comandos maliciosos em arquivos de configuração para executar rotinas em PowerShell antes da compilação. Os desenvolvedores do ataque facilitavam o processo ao fornecer tutoriais detalhados de instalação, o que permitia execução por pessoas com pouco conhecimento prático.
Falso software de segurança no GitHub contamina 2 mil computadores Foto: Reprodução/ChatG
O Doctor Web descobriu que os alvos mudaram em 2026, uma vez que a nova fase da campanha utiliza programas que fingem ser automatizadores de varreduras, analisadores de registros e ferramentas de teste. Um dos exemplos destacados pelos pesquisadores simulava a limpeza e a formatação de resultados do utilitário Fscan.
Para dificultar a detecção visual por parte dos analistas, cibercriminosos ocultaram trechos maliciosos em arquivos das linguagens Python e Go por meio de blocos extensos de espaços em branco.
Como funciona a invasão dos sistemas
A contaminação começa quando o usuário abre o projeto baixado. O script em PowerShell entra em ação e faz requisições para servidores controlados pelos invasores e para serviços conhecidos na internet, como YouTube, Telegram, Google Docs, GitCode e Pastebin.
O script obtém um texto criptografado que contém o link para baixar um arquivo comprimido. O conteúdo, ao ser extraído, fica oculto em uma pasta com nome idêntico ao de um componente do aplicativo de Fotos do Windows, segundo os pesquisadores do Doctor Web.
Um repositório falso contendo um script de análise, limpeza e formatação de dados para o Fscan Foto: Reprodução/Doctor Web
O módulo principal do ataque é um programa chamado Microsoft.exe, desenvolvido sobre a estrutura Electron. Ele coleta dados do sistema, envia as informações para um robô no Telegram e desativa recursos nativos de defesa, incluindo Windows Defender, o Controle de Conta de Usuário (UAC), a Restauração do Sistema e as cópias de sombra. A aplicação também tenta desinstalar programas de proteção de marcas como McAfee, ESET e Malwarebytes.
Para escapar da análise de ferramentas de monitoramento, o software malicioso altera configurações do registro e remove ganchos de segurança do arquivo de sistema ntdll.dll. O código malicioso também aplica modificações na memória para impedir que o sistema registre rastros de diagnósticos ou faça varredura prévia de scripts.
Carga maliciosa tripla e planos de expansão
Após desativar o contornar a proteção da máquina, a invasão dispara três tipos de ameaça simultâneas:
- Um programa de acesso remoto que roda em duas distâncias em portas diferentes, estrutura criada para permitir que dois operadores controlem o computador ao mesmo tempo;
- Uma ferramenta que monitora a área de transferência do sistema e substitui endereços de carteiras de criptomoedas no momento em que a vítima tenta realizar transferências ao tirar capturas de tela da operação;
- Um extrator de credenciais que busca dados salvos em navegadores, configurações de clientes FTP como o FileZilla e Total Commander, perfis de redes virtuais privadas (VPNs), arquivos de aplicativos de mensagem, contas de plataformas de jogos e tokens do Discord.
Todas as informações capturadas são compactadas e enviadas aos criminosos por meio do Telegram. Para impedir a recuperação das defesas, o programa altera o arquivo de endereçamentos do sistema operacional para bloquear o acesso aos domínios das empresas de antivírus.
Esquema visual que demonstra o processo de infecção Foto: Reprodução/Doctor Web
A análise da Doctor Web indicou ainda que a ameaça continua em processo de atualização por parte dos criadores. Durante a varredura, os pesquisadores localizaram rotinas não finalizadas projetadas para garantir a permanência da aplicação do sistema, mesmo que o usuário exclua os arquivos principais.
Os invasores estão atualizando constantemente os Cavalos de Tróia para introduzir novos recursos. Por exemplo, os pesquisadores da Doctor web descobriram certas rotinas não utilizadas que facilitam download e descompressão de mais um arquivo
A recomendação da equipe de segurança é manter os bancos de dados dos programas de proteção atualizados e verificar minuciosamente qualquer arquivo baixado na internet antes de executá-lo.
Siga o TecMundo no X, Instagram, Facebook e YouTube e assine a nossa newsletter para receber as principais notícias e análises diretamente no seu e-mail.
