Criminosos cibernéticos estão transformando plataformas de vídeo de curta duração em uma nova superfície de ataque, utilizando tutoriais de software falso no TikTok e Instagram Reels para empurrar malware para usuários desavisados. A tática é simples, mas surpreendentemente eficaz: criar vídeos polidos e convincentes que prometem acesso gratuito a software premium popular, e depois direcionar silenciosamente os espectadores para downloads maliciosos.
O surgimento do ataque em redes sociais
O ataque funciona porque se mistura tão naturalmente. Esses vídeos parecem não ser diferentes dos milhões de dicas de tecnologia e clipes de como-fazer que inundam as redes sociais todos os dias. Com milhares de visualizações e centenas de curtidas por trás deles, as vítimas têm poucas razões para questionar se o conteúdo é genuíno. Essa falsa sensação de credibilidade é exatamente o que os atacantes contam.
Analistas da ReversingLabs identificaram e analisaram dois métodos de campanha distintos usados nessa ameaça, ambos conseguindo alcançar audiências massivas ao manipular os algoritmos de recomendação das plataformas. A pesquisa foi liderada pela pesquisadora de inteligência de ameaças Zaria Vuksan, que documentou como os atacantes exploram expertamente as mecânicas de engajamento das plataformas para espalhar malware em escala.
Campanhas de engenharia social
A primeira campanha usa contas com nomes de usuário como "windows.tips" ou "windows.insights", acompanhadas de uma imagem de perfil azul e branca projetada para imitar de perto o ícone oficial do Windows. Essas contas postam vídeos de tutoriais profissionais com narração de voz gerada por IA, guiando os usuários a digitar um comando PowerShell específico que supostamente desbloqueia o Spotify Premium gratuitamente.
Esse comando instrui o Windows a baixar e executar silenciosamente um script de um endereço remoto. Quando os usuários seguem os passos sem questionar, eles executam involuntariamente um arquivo identificado como Vidarstealer. O que torna isso especialmente perigoso é o quão limpo e autoritário os vídeos parecem, com muitos acumulando mais de 100.000 visualizações junto com milhares de salvamentos e compartilhamentos.
A segunda campanha adota uma abordagem muito mais casual para atrair vítimas. Essas contas postam clipes curtos e vagos mostrando recursos premium do Spotify enquanto reproduzem música em tendência, incentivando os espectadores a comentar por curiosidade. Uma vez que o engajamento aumenta, o atacante responde com direções para sites maliciosos como pluginchad[.]xyz ou d4ug[.]site, que oferecem downloads de software falso escondidos atrás de paredes de pesquisa.
Por que esses ataques são difíceis de parar
O que torna essa ameaça especialmente teimosa é que as plataformas de mídia social não estão bem equipadas para detê-la. Pesquisadores da ReversingLabs tentaram relatar contas maliciosas do Instagram como golpes, e cada único relatório foi rejeitado. Mesmo quando o conteúdo é sinalizado, as plataformas agem lentamente, e até que uma conta seja removida, o dano já está feito.
Os atacantes também suprimem avisos da comunidade com facilidade considerável. Se um espectador deixar um comentário alertando outros sobre a fraude, o atacante simplesmente o exclui e bloqueia esse usuário imediatamente. Essa dinâmica torna a autopoliciamento genuíno quase impossível, deixando a totalidade da defesa nas mãos de organizações e usuários individuais.
Impacto e alcance do Vidarstealer
O malware implantado através desses vídeos é o Vidarstealer, um infostealer bem conhecido oferecido como serviço que rouba credenciais de login, dados financeiros e tokens de sessão de dispositivos infectados. O Vidarstealer recebeu uma atualização em outubro do ano passado, tornando-se mais evasivo e mais difícil de detectar. Com uma licença vitalícia precificada em cerca de 300 dólares, continua sendo uma ferramenta favorita para atores de ameaças em muitas campanhas.
A combinação de alcance generalizado de mídia social e ferramentas de malware acessíveis cria um ambiente de ameaça genuinamente perigoso para usuários comuns e organizações. O roubo de credenciais pode levar a violações de contas corporativas, especialmente se os usuários reutilizarem senhas entre serviços pessoais e profissionais.
Medidas de mitigação recomendadas
Defesas práticas existem e devem ser agidas agora. As organizações devem auditar regularmente quem detém permissões de instalação em dispositivos de trabalho, já que alguns softwares promovidos nesses vídeos são apresentados como ferramentas profissionais úteis. Programas de treinamento de phishing devem permanecer atualizados e cobrir explicitamente as redes sociais como vetor de ataque, não apenas o e-mail.
Os usuários devem relatar contas suspeitas consistentemente, já que volumes mais altos de relatórios aumentam a probabilidade de remoção e podem desacelerar o momentum de um atacante. Além disso, é crucial educar os colaboradores sobre os riscos de executar comandos PowerShell ou baixar arquivos de fontes não confiáveis, mesmo que pareçam vir de contas oficiais.
Indicadores de Comprometimento (IoCs)
As equipes de segurança devem bloquear os domínios e hashes conhecidos associados a esta campanha. Os principais indicadores incluem o hash SHA-256 do build.exe identificado como Vidarstealer e domínios maliciosos como pluginchad[.]xyz e msget[.]run. Contas de TikTok e Instagram associadas à campanha também devem ser monitoradas e reportadas.
Perguntas frequentes
Qual malware é distribuído através desses vídeos?
O malware distribuído é o Vidarstealer, um infostealer focado em roubo de credenciais.
Por que as plataformas de mídia social não removem o conteúdo?
As plataformas têm dificuldade em identificar o conteúdo como malicioso devido à sua aparência legítima e ao volume de relatórios falsos.
Como os usuários podem se proteger?
Evitar baixar software de fontes desconhecidas, não executar comandos PowerShell de vídeos e relatar contas suspeitas.