Descoberta e escopo da campanha
Projextor é uma campanha de malware que transforma ferramentas de desktop comuns em uma porta de entrada para código oculto. Seus operadores o embalam dentro de conversores de documentos, planejadores de refeições e aplicativos de receitas funcionais, para que as vítimas recebam um programa que parece útil desde o primeiro clique.
Analistas da G Data identificaram um cluster de conversores de documentos, planejadores de alimentos e aplicativos de receitas que compartilhavam o mesmo framework oculto. Os aplicativos permaneciam funcionais enquanto escondiam código com acesso muito mais amplo do que os usuários esperariam.
Vetor e exploração
O Electron é comumente usado para criar software de desktop com tecnologias web, mas também permite que um aplicativo alcance funções do sistema operacional. O Projextor abusa dessa estrutura confiável instalando seus arquivos main.js e preload.js no diretório de recursos do aplicativo, onde são lançados automaticamente quando o programa inicia.
A camada de preload normalmente atua como uma ponte controlada entre o aplicativo visível e funções de sistema mais poderosas. Nas amostras afetadas, o main.js desativa deliberadamente o isolamento de contexto do Electron, uma salvaguarda habilitada por padrão em versões modernas. Essa escolha pode dar ao conteúdo carregado pelo aplicativo um caminho para capacidades do Node.js.
Impacto e alcance
O Projextor também implementa um seletor de compartilhamento de tela personalizado que lista monitores e janelas de aplicativos disponíveis, com miniaturas. Se abusado, essa capacidade pode permitir que um operador assista ao trabalho ativo, colete arquivos sensíveis exibidos na tela e observe fluxos de trabalho de login.
Diferente de senhas salvas roubadas, a captura de tela pode revelar informações visíveis apenas durante uma sessão ativa, incluindo conteúdo em navegadores, clientes de e-mail e aplicativos de negócios. O risco se estende além de um único dispositivo, afetando a segurança de dados corporativos.
Medidas de mitigação recomendadas
Equipes de segurança devem revisar aplicativos Electron recém-instalados, especialmente ferramentas de PDF não solicitadas e utilitários gratuitos, em busca de scripts de preload inesperados, configurações inseguras e chamadas de código externo.
Bloquear a instalação de software não aprovado e ensinar usuários a evitar armadilhas de download de resultados de pesquisa pode limitar a exposição. A verificação de integridade de arquivos e monitoramento de comportamento de rede são essenciais.
O que os CISOs devem fazer imediatamente
Implementar políticas de aplicação de software restritivas e revisar permissões de aplicativos de desktop. Monitorar chamadas de API do Electron e tráfego de rede para padrões de injeção de código é crucial para detecção precoce.