Uma campanha de segurança digital identificou uma alteração inédita (malware) nas táticas utilizadas por cibercriminosos especializados em fraudes bancárias no mercado brasileiro. A descoberta realizada pela empresa SWARMY revelou que códigos maliciosos locais passaram a utilizar contratos inteligentes implantados na rede da Ethereum para ocultar a localização de seus servidores de comando e controle. Essa técnica inovadora permite que os atacantes evitem o armazenamento de endereços virtuais fixos no código original, consultando os dados dinâmicos da infraestrutura criminosa em tempo real antes de avançar para as fases mais destrutivas da infecção nos computadores das vítimas. O uso de redes descentralizadas dificulta o bloqueio por parte das ferramentas tradicionais de proteção antivírus.
A arquitetura do ataque opera realizando consultas de leitura aos nós públicos do protocolo sem disparar transações que alterem o estado do livro-razão descentralizado. O malware utiliza um gateway público de conexão para acessar as instruções contidas no contrato inteligente localizado na Ethereum. Por meio dessa consulta passiva, a praga obtém o endereço atualizado do servidor externo controlado pelos invasores, sem a necessidade de gravar IPs ou domínios rígidos dentro do arquivo malicioso distribuído às vítimas. As consultas passivas não geram custos de transação, garantindo que os operadores mantenham a comunicação viva de maneira contínua e praticamente gratuita.
Essa metodologia eleva drasticamente a capacidade de permanência e resiliência da campanha criminosa frente às ações das equipes de resposta a incidentes. Em abordagens tradicionais de segurança cibernética, os analistas desativam a ameaça ao derrubar os servidores de comando ou incluir os endereços em listas negras de bloqueio. No entanto, com a utilização do contrato inteligente, os operadores da praga conseguem redefinir o servidor de destino bastando alterar as variáveis armazenadas na blockchain. A atualização remota preserva o arquivo malicioso, descartando a necessidade de desenvolver e distribuir novas versões do vírus a cada servidor desativado pelas autoridades.
Após recuperar as instruções através da rede descentralizada, o programa executa rotinas desenvolvidas em linguagens modernas que utilizam módulos nativos da tecnologia NODE.JS e rotinas da MICROSOFT. Antes de descarregar os módulos finais de espionagem, a praga realiza varreduras profundas no sistema operacional para verificar se está sendo executada dentro de um sandbox. Esses ambientes isolados são amplamente empregados por pesquisadores de segurança para analisar o comportamento de ameaças. A detecção de ambientes de análise interrompe o ataque, impedindo que engenheiros de segurança descubram a totalidade das rotinas maliciosas presentes na cadeia de infecção.
Caso confirme que está rodando em um computador real de um usuário bancário, o programa carrega seus componentes diretamente na memória RAM do dispositivo utilizando técnicas de Reflection do ecossistema .NET. Essa abordagem evita a gravação de arquivos suspeitos no disco rígido, reduzindo os rastros capturados pelas varreduras estáticas de proteção. Adicionalmente, a ameaça aplica técnicas de injeção de código diretamente no processo legítimo do sistema operacional Windows, camuflando suas atividades sob a identidade do gerenciador da interface do usuário. O mascaramento em processos legítimos estende a permanência do vírus no sistema sem disparar alertas de segurança.
Para assegurar a persistência da infecção mesmo após a reinicialização do equipamento, a praga cria tarefas agendadas no sistema operacional utilizando nomes que simulam atualizações oficiais da MICROSOFT. Diante da sofisticação dessas técnicas combinadas, especialistas em segurança cibernética enfatizam a necessidade de evoluir o monitoramento comportamental das redes corporativas e domésticas. O acompanhamento de conexões para nós de blockchain passa a ser um indicador crítico de comprometimento, especialmente quando seguido pelo carregamento anormal de códigos na memória e injeções em processos nativos do sistema.
