Descoberta e escopo da ameaça
Uma investigação de segurança da informação revelou a presença de um aplicativo suspeito na Microsoft Store, identificado como Vibing.exe, que realiza coleta agressiva de dados sensíveis dos usuários sem consentimento explícito. O software, comercializado como uma interface para o mundo "nativo de IA" pela equipe Vibing-Team, configura-se para iniciar automaticamente ao fazer login no sistema operacional Windows. Pesquisadores de segurança, incluindo Kevin Beaumont, alertaram que o aplicativo monitora a atividade do usuário e transmite telemetria para um endpoint pré-configurado do Azure Front Door.
O comportamento do malware é particularmente preocupante para profissionais de segurança e CISOs, pois ele utiliza WebSockets para comunicação, uma técnica conhecida por contornar certas configurações de bloqueio de proxy. A aplicação captura dados sensíveis de forma coverta, incluindo capturas de tela codificadas em Base64 do desktop ativo do usuário, gravações de áudio brutas capturadas diretamente do microfone do sistema e conteúdo da área de transferência que pode conter texto e arquivos copiados.
Além disso, o software registra palavras-chave específicas, títulos de janelas e nomes de aplicativos ativos. Cada peça de dados transmitida é marcada com um GUID de hardware único, permitindo que os desenvolvedores rastreiem usuários individuais e vinculem capturas de tela a máquinas específicas ao longo do tempo. Essa prática de rastreamento altamente invasiva é completamente omitida da interface do aplicativo e da documentação, violando as expectativas de privacidade e transparência.
Evidências de vínculo com a Microsoft GenAI
Embora apresentado como uma ferramenta de código aberto construída pela comunidade, investigações de OSINT revelam que o aplicativo está diretamente ligado aos laboratórios de pesquisa de IA generativa da Microsoft em Pequim. O repositório oficial do GitHub para o Vibing não contém código-fonte real, hospedando apenas um arquivo binário de 80MB. O executável é assinado digitalmente pelo pesquisador da Microsoft Yaoyao Chang usando um co-assinador da SSL.com.
Evidências-chave que vinculam este suposto projeto comunitário à Microsoft incluem o endpoint do Azure que recebe os dados coletados, que pertence a um inquilino corporativo de propriedade da Microsoft. Menções iniciais do Vibing apareceram diretamente na página oficial do GitHub da Microsoft para o VibeVoice. A documentação de instalação apresenta capturas de tela tiradas de dispositivos corporativos autenticados da Microsoft, e o projeto utiliza o mesmo logotipo do produto oficial VibeVoice da Microsoft.
Implicações de privacidade e segurança
A operação do aplicativo expõe uma superfície de ataque massiva e opera com opacidade preocupante. Ao se disfarçar como uma iniciativa impulsionada pela comunidade, os desenvolvedores parecem ter contornado os rigorosos processos internos de governança, privacidade e revisão de segurança da Microsoft. A política de privacidade da Microsoft Store afirma falsamente que nenhum dado é enviado a terceiros, enquanto os usuários não recebem prompts de consentimento antes do início da transmissão de áudio e tela.
Não há um controlador de dados designado e não há transparência sobre as políticas de retenção de dados. O rastreamento de digitação e capturas de tela via GUIDs de hardware cria riscos severos de vigilância a longo prazo. Apesar da pressão crescente da comunidade de desenvolvedores, a Microsoft ainda não emitiu uma resposta formal. Desenvolvedores marcaram os funcionários envolvidos da Microsoft no GitHub para destacar a coleta de dados coverta, mas os indivíduos associados ao projeto ignoraram as marcações ou fecharam abruptamente as questões.
Indicadores de comprometimento e mitigação
Caçadores de ameaças e equipes de segurança devem monitorar seus ambientes em busca dos seguintes indicadores associados a este software: vibing.exe, Vibing Installer.exe e vibing-api-ccegdhbrg2d6bsd7.b02.azurefd.net. Para mitigar o risco, recomenda-se a remoção imediata do aplicativo de todos os endpoints afetados. Administradores devem revisar as políticas de segurança de endpoints para bloquear a execução de executáveis não assinados ou assinados por certificados suspeitos.
Além disso, é crucial revisar os logs de rede para identificar tráfego de saída para o endpoint do Azure Front Door mencionado. A implementação de soluções de detecção de intrusão baseadas em comportamento pode ajudar a identificar atividades de captura de tela e áudio não autorizadas. A transparência sobre a origem e o propósito do software é essencial para restaurar a confiança dos usuários e garantir a conformidade com regulamentações de proteção de dados.
Recomendações para CISOs e equipes de segurança
Profissionais de segurança devem considerar este incidente como um alerta sobre os riscos de segurança na cadeia de suprimentos de software. A instalação de aplicativos de fontes não verificadas ou com histórico de comportamento suspeito deve ser rigorosamente controlada. A implementação de políticas de aplicação de aplicativos, como o Windows Defender Application Control (WDAC), pode prevenir a execução de software malicioso. Além disso, a educação dos usuários sobre os riscos de privacidade e a importância de revisar permissões de aplicativos é fundamental para reduzir a superfície de ataque.
A Microsoft deve ser pressionada a investigar e remover o aplicativo da loja, garantindo que não haja mais exposição de dados sensíveis dos usuários. A transparência sobre as investigações e as medidas tomadas para remediar a situação é essencial para manter a confiança do ecossistema de desenvolvedores e usuários.
Perguntas frequentes
O que é o Vibing.exe? É um aplicativo suspeito na Microsoft Store que coleta dados sensíveis sem consentimento.
Como ele coleta dados? Captura telas, áudio e conteúdo da área de transferência, transmitindo para um endpoint do Azure.
Qual a relação com a Microsoft? Evidências sugerem vínculo com laboratórios de pesquisa de IA da Microsoft, apesar da apresentação como projeto comunitário.
Como me proteger? Remova o aplicativo, monitore logs de rede e implemente políticas de segurança de endpoints rigorosas.