Novo golpe explora anúncios falsos no Google; veja como funciona

A operação foi identificada pela equipe da Elastic Security Labs e recebeu o nome de REF8372. O golpe utiliza uma cadeia de infecção sofisticada envolvendo um carregador de malware chamado OXLOADER, criado para instalar outro programa malicioso conhecido como CastleStealer.

O principal alvo da campanha são usuários que procuram baixar uma versão do Node.js, uma ferramenta amplamente utilizada por desenvolvedores para criação de aplicações e serviços digitais.

O caso mostra como ataques modernos estão explorando hábitos comuns dos usuários, como clicar rapidamente nos primeiros resultados de busca, principalmente quando parecem oficiais.

Leia mais:

Malware no Android altera transferências Pix no Brasil

Como funciona o golpe com anúncios falsos no Google

A estratégia começa quando a vítima pesquisa por um software legítimo, como uma versão do Node.js.

Entre os resultados aparece um anúncio patrocinado que parece direcionar para uma página oficial de download. No entanto, o link leva para um site falso criado para imitar a aparência de uma página verdadeira.

Esse tipo de ataque é conhecido como malvertising, uma técnica em que criminosos usam publicidade digital para distribuir ameaças.

O problema é que anúncios pagos podem aparecer em posições de destaque nos mecanismos de busca, fazendo com que usuários confiem mais facilmente no endereço exibido.

Segundo a análise da Elastic Security Labs, o anúncio foi publicado por uma conta verificada no Google associada ao nome “ВОЛОДИМИР ТЕРЕЩЕНКО”. A origem real da conta não foi confirmada, podendo ser uma identidade falsa, uma conta criada para fraude ou até uma conta comprometida.

O Google removeu a conta e os anúncios relacionados após identificar a atividade maliciosa.

O que acontece depois que a vítima baixa o arquivo

Ao acessar o site falso, o usuário recebe um arquivo do tipo batch, um script usado pelo Windows para executar comandos automaticamente.

O arquivo estava hospedado em um serviço legítimo de armazenamento em nuvem, o Storj. Essa técnica dificulta a identificação do golpe porque criminosos aproveitam plataformas confiáveis para esconder arquivos maliciosos.

Após executar o arquivo, a vítima vê uma tela semelhante a uma instalação comum de programa.

Enquanto parece que algo legítimo está sendo instalado, o sistema executa processos ocultos que baixam o OXLOADER.

O malware então solicita privilégios de administrador por meio do aviso de controle de conta do Windows (UAC), uma ferramenta criada para impedir alterações não autorizadas no sistema.

O papel do OXLOADER no ataque

O OXLOADER não é o responsável direto pelo roubo das informações. Ele funciona como um carregador, ou seja, prepara o computador para receber a ameaça principal.

Sua função é instalar e executar o CastleStealer, um malware especializado em capturar dados sensíveis.

Para dificultar a descoberta, o OXLOADER utiliza técnicas de ofuscação, que alteram a estrutura do código para impedir análises simples por ferramentas de segurança.

Essa estratégia é comum em ataques mais avançados, pois aumenta o tempo necessário para que pesquisadores identifiquem como a ameaça funciona.

Malware verifica computador antes de agir

Um dos pontos que chamou atenção dos especialistas foi a quantidade de verificações realizadas pelo OXLOADER antes de iniciar o ataque.

O malware analisa características do computador para identificar se está sendo executado em um ambiente de teste ou em uma máquina real.

Entre as verificações estão:

• quantidade de processadores;
• memória RAM disponível;
• características da tela;
• configurações do sistema.

A ameaça procura evitar ambientes conhecidos como sandboxes, usados por pesquisadores e empresas de segurança para analisar arquivos suspeitos.

Esses ambientes geralmente possuem configurações diferentes de computadores comuns, permitindo que o malware perceba quando está sendo observado.

Ataque evita computadores de determinadas regiões

Outro comportamento identificado foi uma limitação geográfica.

O OXLOADER interrompe a execução quando encontra sistemas configurados em russo ou localizados em países associados à Comunidade de Estados Independentes, grupo formado por antigas repúblicas soviéticas.

Esse tipo de filtro aparece com frequência em campanhas criminosas e pode indicar que os responsáveis pelo malware evitam atingir determinadas regiões para reduzir riscos de investigação local.

CastleStealer rouba senhas e informações pessoais

Depois de passar pelas verificações, o OXLOADER carrega o CastleStealer na memória do computador.

O CastleStealer é um infostealer, categoria de malware criada especificamente para coletar informações privadas.

Entre os dados que podem ser roubados estão:

• senhas armazenadas em navegadores;
• informações de preenchimento automático;
• arquivos pessoais;
• dados relacionados a carteiras de criptomoedas;
• outras informações armazenadas no computador.

O fato de o malware funcionar diretamente na memória também dificulta sua identificação, já que ele pode deixar menos rastros no armazenamento do dispositivo.

Por que esse tipo de golpe preocupa especialistas?

A principal preocupação dos pesquisadores é que o ataque combina técnicas já conhecidas com uma execução mais cuidadosa.

O golpe não depende apenas de convencer a vítima a baixar um arquivo. Ele utiliza:

• anúncios em plataformas populares;
• páginas falsas visualmente semelhantes às originais;
• serviços legítimos de hospedagem;
• técnicas para escapar de análises automáticas.

Essa combinação aumenta as chances de sucesso contra usuários desatentos.

Como evitar cair em golpes com anúncios falsos

Especialistas recomendam cuidados básicos para reduzir o risco de infecção.

Entre as principais medidas estão:

Baixar programas somente em sites oficiais

Ao instalar softwares conhecidos, o ideal é acessar diretamente o site oficial do desenvolvedor, evitando links patrocinados ou páginas desconhecidas.

Conferir o endereço do site

Pequenas alterações no domínio podem indicar uma página falsa. Antes de baixar qualquer arquivo, é importante verificar se o endereço corresponde ao site verdadeiro.

Evitar executar arquivos desconhecidos

Arquivos como scripts, instaladores de origem duvidosa ou anexos inesperados devem ser tratados com cautela.

Manter sistemas atualizados

Atualizações do Windows, navegadores e antivírus ajudam a corrigir falhas e melhorar a detecção de ameaças.

Imagem: Shutterstock