O WatchGuard Threat Lab identificou uma campanha de malware que utiliza mensagens em português para distribuir componentes maliciosos e obter controle sobre navegadores Chromium. A investigação, conduzida pelo pesquisador Cristóbal Tárraga García, revelou uma cadeia de infecção modular que combina smart contracts na rede Ethereum, o ambiente Node.js, a técnica de DLL side-loading e uma extensão maliciosa para Chrome e Microsoft Edge.
A infecção inicia com um arquivo JavaScript/JScript executado pelo Windows Script Host. Para ocultar a atividade maliciosa, o código exibe uma falsa mensagem de erro em português intitulada “Erro ao abrir o documento”, enquanto verifica o ambiente em segundo plano para identificar sandboxes antes de prosseguir.
Para localizar sua infraestrutura, a ameaça consulta um smart contract na rede Ethereum em vez de manter endereços fixos no código. Esse mecanismo funciona como um dead-drop resolver, permitindo alterar os caminhos de comando e controle sem precisar modificar o arquivo inicial instalado na vítima.
Na etapa seguinte, o malware baixa o ambiente legítimo Node.js para executar o código principal e cria a tarefa agendada MicrosoftNodeRuntimeUpdater para manter a persistência no sistema. Em seguida, aplica a técnica de DLL side-loading ao utilizar o executável legítimo SentinelMemoryScanner.exe, da SentinelOne, para carregar uma biblioteca maliciosa chamada SentinelAgentCore.dll.
A biblioteca modifica os perfis do navegador para instalar silenciosamente a extensão “MPEG Boost Process V11.14”, disfarçada de otimizador de multimídia. O componente atua como um implante remoto capaz de realizar capturas de tela, coletar cookies, monitorar a digitação em formulários, interceptar requisições HTTP e manter comunicação bidirecional por WebSocket com os atacantes.
O WatchGuard Threat Lab recomenda monitorar scripts de automação ligados ao wscript.exe, controlar as extensões instaladas e acompanhar a criação de tarefas agendadas e alterações nos perfis de navegação. A equipe destaca que a campanha chama a atenção por integrar blockchain, componentes legítimos, DLL side-loading e controle de navegação em uma única cadeia de ataque.
