Cibercriminosos criam falsos agentes de IA para instalar malware e roubar criptomoedas

Cibercriminosos usam falsos agentes de inteligência artificial (IA) para induzir os usuários a instalar malware que substitui extensões legítimas de carteiras de criptomoedas e rouba suas senhas. A manobra foi detectada entre abril e junho pela HP, em um cenário onde a inteligência artificial agencial, sistemas capazes de executar tarefas em nome do usuário, se tornou um novo atrativo para fraudes financeiras. A atividade faz parte do Threat Insights Report da HP, que analisou milhões de dispositivos protegidos com HP Wolf Security para identificar campanhas recentes e os métodos empregados para evadir sistemas de detecção.

Como opera este ciberataque que rouba criptomoedas

O ataque se apresenta como uma alternativa aos consultores financeiros tradicionais: os cibercriminosos prometem uma ferramenta que supervisiona carteiras de criptomoedas e opera de forma automática. O site tradingclaw se fazia passar por um assistente de IA para negociar ativos digitais, mas distribuía uma família de software malicioso chamada Needle Stealer. Uma vez instalado, o programa examina os navegadores em busca de extensões de carteiras, entre elas Coinbase e MetaMask. Quando o programa as encontra, as substitui por cópias visualmente semelhantes; ao inserir seus dados para iniciar sessão, as vítimas entregam suas credenciais aos atacantes, que podem acessar seus fundos. Patrick Schläpfer, investigador principal do HP Security Lab, alertou que os atacantes "estão aproveitando a adoção de ferramentas de IA agencial para desenvolver novos atrativos que enganam os usuários e os levam a baixar software malicioso que parece legítimo". Em sua opinião, essa estratégia torna a distribuição desses programas "mais sofisticada e difícil de detectar".

Que outros ciberataques foram identificados

A segunda campanha detectada combina Phantom Gate, um carregador de software malicioso, com Phantom Stealer, uma ferramenta destinada ao roubo de informações, incluindo credenciais e dados financeiros. Phantom Stealer é comercializado como um programa legítimo para realizar testes de penetração, enquanto Phantom Gate permite que os criminosos implantem e ampliem as campanhas de infecção. Schläpfer sustentou que essas ferramentas refletem "a expansão do panorama de ameaças" porque permitem construir "cadeias de infecção perigosas". O resultado é um aumento do risco de que as organizações fiquem comprometidas. A terceira modalidade recorre ao phishing, um engano que suplanta páginas ou serviços para obter dados pessoais, por meio de códigos QR. As vítimas recebem arquivos PDF com o conteúdo borrado sob a alegação de que foi ocultado "por motivos de segurança", e são solicitadas a escanear o código com o telefone para acessar a informação. O código redireciona o usuário para uma página fraudulenta a partir do dispositivo. Esses endereços teriam sido bloqueados ao serem abertos a partir de um computador, mas funcionam nos telefones, que têm níveis de proteção mais baixos e expõem as credenciais de acesso.

Como foi possível detectar diferentes ciberataques

HP Wolf Security pode observar esses ataques porque executa programas suspeitos dentro de contêineres protegidos. Esse isolamento permite conhecer o comportamento dos criminosos sem que o dispositivo fique afetado. Os usuários protegidos por esse serviço abriram 60.000 milhões de anexos de e-mail, páginas da web e arquivos baixados sem que fossem registradas brechas de segurança. Os dados mostraram que pelo menos 10% das ameaças detectadas por e-mail através do HP Sure Click conseguiram desviar um ou mais scanners das portas de e-mail. Além disso, os arquivos executáveis foram o mecanismo de distribuição mais frequente e apareceram em 40% dos casos. Os arquivos comprimidos representaram 38%, enquanto os PDFs alcançaram 7,5%. James Wright, diretor global de Segurança de Sistemas Pessoais da HP, observou que os usuários "se movem constantemente entre dispositivos e aplicações" através de navegadores e ferramentas de IA, e que os criminosos atualizam suas táticas rapidamente para acompanhá-los. Por isso, pediu que as organizações adotem um modelo de confiança zero, baseado no isolamento e na contenção de cliques e downloads que não sejam confiáveis.

Este conteúdo é disponibilizado apenas para fins informativos gerais e não constitui aconselhamento financeiro, de investimento, jurídico ou fiscal. Quaisquer eventos, recompensas, promoções online ou informações relacionadas aqui mencionados não devem ser interpretados como uma recomendação, solicitação ou convite para comprar, vender, negociar ou realizar quaisquer outras operações com criptoativos. Os criptoativos são altamente voláteis e podem resultar em perdas. A disponibilidade dos serviços, produtos e eventos relacionados da WEEX pode variar consoante a região. O utilizador é responsável por garantir que a sua participação está em conformidade com a legislação e os regulamentos locais aplicáveis.