Golpe no GitHub: Falso software de segurança infecta 2 mil computadores

Uma campanha cibernética sofisticada, identificada pela empresa Doctor Web, está utilizando repositórios adulterados no GitHub para infectar computadores. Inicialmente focada em entusiastas de jogos em blockchain e usuários de carteiras virtuais, a ação expandiu seu alcance e agora mira também profissionais de segurança da informação. Mais de dois mil dispositivos já foram comprometidos desde o início da operação, que se intensificou em outubro de 2026.

Os invasores por trás desses projetos de desenvolvimento comprometidos visam não apenas jogadores, mas também especialistas em segurança, o que é particularmente intrigante, segundo os analistas.

Como o golpe se iniciou e evoluiu

O esquema teve início há cerca de dois anos, com a distribuição de projetos falsos para o Visual Studio, focados em utilitários de jogos e automações. Na época, comandos maliciosos eram inseridos em arquivos de configuração para execução via PowerShell antes da compilação. Tutoriais detalhados facilitavam a instalação, mesmo para usuários com pouco conhecimento técnico.

Em 2026, os alvos mudaram. A nova fase da campanha passou a utilizar programas que simulam ferramentas de análise, limpeza e formatação de dados, como um exemplo que imitava o utilitário Fscan. Para dificultar a detecção, trechos maliciosos foram ocultados em arquivos Python e Go com o uso de extensos blocos de espaços em branco.

O mecanismo de infecção e roubo de dados

A contaminação ocorre quando o usuário abre um projeto baixado do GitHub. Um script em PowerShell faz requisições a servidores controlados pelos criminosos e a serviços como YouTube, Telegram e Google Docs. O script obtém um texto criptografado com o link para um arquivo malicioso, que se esconde em uma pasta com nome similar a um componente do aplicativo de Fotos do Windows.

O módulo principal, um programa chamado Microsoft.exe, coleta dados do sistema, envia informações para um robô no Telegram e desativa defesas nativas como Windows Defender, Controle de Conta de Usuário (UAC), Restauração do Sistema e cópias de sombra. Ele também tenta desinstalar programas de segurança de marcas como McAfee, ESET e Malwarebytes.

Para escapar da análise, o software altera configurações do registro e remove ganchos de segurança, além de modificar a memória para impedir o registro de rastros de diagnóstico.

Carga maliciosa tripla e planos de expansão

Após contornar as proteções, a invasão dispara três ameaças simultâneas: um programa de acesso remoto que permite controle simultâneo por dois operadores; uma ferramenta que monitora a área de transferência para substituir endereços de carteiras de criptomoedas; e um extrator de credenciais que busca dados em navegadores, clientes FTP como FileZilla, perfis de VPNs, aplicativos de mensagem e tokens do Discord.

Todas as informações capturadas são compactadas e enviadas via Telegram. O programa também altera o arquivo de endereçamentos do sistema para bloquear o acesso a domínios de antivírus.

A ameaça continua em atualização, com rotinas não finalizadas para garantir permanência no sistema, mesmo após exclusão dos arquivos principais. Os criadores introduzem novos recursos constantemente.

Recomendações de segurança

A equipe de segurança da Doctor Web recomenda manter os bancos de dados de programas de proteção atualizados e verificar minuciosamente qualquer arquivo baixado da internet antes de executá-lo.