O NodeStealer, um stalker de informações baseado em Python, retornou com uma versão mais invasiva que transforma o roubo de credenciais em vigilância contínua. Identificado pela primeira vez em 2023, o malware focava inicialmente em dados de navegadores e contas do Facebook. No entanto, a nova variante, identificada por pesquisadores da Netskope em agosto de 2026, adiciona funções de spyware que gravam digitação, monitoram a área de transferência e capturam telas.
Novas capacidades de vigilância
A adição mais preocupante é um keylogger que utiliza a biblioteca pynput do Python para monitorar a entrada do teclado. O malware salva o texto capturado em um arquivo temporário, envia-o para o canal principal de comando e controle (C2) do Telegram a cada 120 segundos e, em seguida, limpa o conteúdo do arquivo. O registro é projetado para continuar indefinidamente, expondo senhas, termos de pesquisa, dados de clientes e mensagens privadas.
A monitoração da área de transferência preenche uma lacuna semelhante, coletando texto simples copiado e colado no dispositivo. O NodeStealer também tira uma captura de tela ao ser executado e outra antes de terminar sua função de captura, transmitindo ambas as imagens através do Telegram. Uma captura de tela pode revelar dados que nunca chegam à área de transferência ou ao teclado, incluindo painéis, códigos de recuperação, documentos abertos e conversas ativas.
Expansão do roubo de dados do Facebook
As amostras mais recentes consultam mais de 20 endpoints da API do Facebook Graph, um aumento em relação aos dois das versões anteriores. Em vez de apenas verificar uma conta, o malware busca uma imagem detalhada da pessoa que a gerencia, cobrindo detalhes de identidade, contatos, interesses, posts, páginas, ativos de publicidade, registros de negócios, integrações e dados relacionados ao login.
Para empresas que executam campanhas de publicidade, o impacto pode se estender além do perfil de um único funcionário. O acesso a informações de negócios e do Ads Manager pode ajudar os atacantes a executar anúncios não autorizados, roubar orçamentos, direcionar colegas ou fazer abordagens convincentes de engenharia social.
Uso de IA e ofuscação
Os analistas notaram um elemento aparentemente assistido por IA nas novas funções: chamadas repetidas e estruturadas de forma semelhante marcadas com rótulos de emojis decorativos, um padrão ausente no código anterior do NodeStealer. Isso sugere que os atacantes podem estar acelerando o desenvolvimento de recursos rotineiros.
O malware também é distribuído como bytecode Python compilado com campos de cabeçalho alterados, aparentemente destinados a obscurecer seu cronograma de compilação e possivelmente interferir na análise automatizada. As equipes de segurança devem garantir que os fluxos de trabalho de inspeção examinem o bytecode Python mesmo quando seus metadados parecem incompletos ou enganosos.
Medidas de mitigação recomendadas
Os defensores devem tratar arquivos incomuns baseados em Python, acesso inesperado a dados de navegador, coleta persistente de digitação e arquivos vinculados ao Telegram como sinais de alta prioridade. A exposição deve ser reduzida limitando o acesso de administrador, mantendo navegadores e proteções de endpoint atualizados, revisando sessões ativas e alertando a equipe para não executar anexos ou downloads não confiáveis.
Pessoas responsáveis por contas de negócios do Facebook devem usar autenticação multifator forte, revisar aplicativos conectados e observar alterações de publicidade não familiares. Como cookies e dados de sessão podem ser valiosos para os atacantes, a revogação imediata da sessão e a redefinição de credenciais são importantes após uma infecção suspeita.
Perguntas frequentes
Como o NodeStealer se diferencia de outros stealers? A combinação de keylogger, monitoramento de área de transferência e captura de tela o transforma em spyware, indo além do roubo de credenciais.
Qual é o principal vetor de infecção? O relatório não identifica um método de entrega inicial confirmado, então as organizações devem evitar assumir uma única rota de infecção.
Como detectar o malware? Equipes de segurança devem inspecionar arquivos Python incomuns, monitorar acesso a dados de navegador e verificar arquivos temporários com padrões de nomeação suspeitos.