GlassWorm a campanha multietapa que rouba credenciais vazias carteiras e toma controle com uma extensão do Chrome disfarçada do Google Docs Offline

Pesquisadores em segurança descobriram uma nova e mais elaborada iteração da campanha conhecida como GlassWorm, que combina técnicas de cadeia de fornecimento maliciosa com um ataque multi-etapa projetado para roubar credenciais, esvaziar carteiras de criptomoedas e manter acesso remoto persistente aos equipamentos comprometidos. Nesta ocasião, os atacantes passaram um passo além: além de distribuir malware através de pacotes contaminados em repositórios de desenvolvedores, acabam forçando a instalação de uma extensão do Google Chrome que se faz passar pela versão offline do Google Docs e que, na verdade, exfiltra dados sensíveis.

O primeiro ponto de entrada continua sendo o ecossistema de código aberto: pacotes maliciosos publicados em npm, PyPI, GitHub e marketplace Open VSX, além de atualizações comprometidas em projetos legítimos cuja conta de manutenção foi usurpada. Desde então, a campanha descarrega componentes específicos segundo o sistema operacional da vítima, consultando fontes ocultas que atuam como “dead drops”. Pesquisadores de Aikido descrevem como os operadores usam transações na blockchain de Solana para ocultar o endereço do servidor de comando e controle (C2), um método que complica a detecção e atribuição (ver documentação do Solana) e já foi documentado no relatório técnico publicado por Aikido aqui.

A cadeia de ataque se decompõe em várias fases. A segunda etapa instala um marco de roubo de informação: busca credenciais, tenta extrair carteiras de criptomoedas e recolhe perfis do sistema. Todas as informações coletadas são empacotadas e enviadas para um servidor remoto. A partir desse momento, o intruso pode baixar dois módulos adicionais: um binário .NET orientado para contornar a segurança de hardware wallets e um RAT (Remote Access Trojan) baseado em JavaScript que se comunica por WebSocket para capturar dados de navegadores e executar código arbitrário.

O componente .NET monitoriza eventos de hardware através da infraestrutura do Windows Management Instrumentation (WMI) para detectar quando um dispositivo USB é conectado. Se o dispositivo parece ser um Ledger ou um Trezor, é mostrada uma janela de phishing que emula a interface do fabricante e insta o utilizador a introduzir as 24 palavras da frase de recuperação. Além disso, o malware pode terminar processos legítimos do gestor da carteira (por exemplo, Ledger Live) e reexibir a janela fraudulenta se o usuário tenta fechar. O objetivo final é capturar a frase de recuperação e enviá-la para uma direção controlada pelos atacantes. A Microsoft mantém documentação sobre a WMI que ajuda a entender como essas capacidades são aproveitadas aqui, enquanto os fabricantes de hardware wallet alertam permanentemente contra a introdução do seed no computador ou aplicativos não verificados, como explica Ledger e Trezor.

O RAT JavaScript complementa o cenário com uma variedade de capacidades que incluem o download de um módulo HVNC para controle remoto oculto, o estabelecimento de um proxy SOCKS por WebRTC, e a extração maciça de dados de navegadores: cookies, história, marcadores, armazenamento local e a estrutura DOM da página ativa. Para garantir o acesso a longo prazo, o malware força a instalação de uma extensão do Chrome chamada “Google Docs Offline”. Esta extensão atua como um cavalo de Troia: comunica com o C2 e pode enviar cookies e tokens de sessão, capturar pulsações de teclas, tirar capturas de tela e exfiltrar dados da área de transferência.

A extensão também pode aplicar regras de vigilância seletiva: traz do servidor listas de sites a monitorar e, nos casos observados, vinha pré-configurada para monitorar serviços de criptomoedas como Bybit, procurando cookies específicos (por exemplo, secure-token ou deviceid). Se detectar uma sessão válida, dispara um webhook para o servidor atacante com os cookies e metadados da página. Além disso, o C2 pode enviar regras de redireccionamento para forçar a página ativa a apontar para páginas controladas pelo atacante, facilitando ataques de sessão e phishing em tempo real. Para entender melhor o que pode expor uma extensão, os desenvolvedores podem revisar a documentação oficial de extensões do Chrome aqui.

Quanto aos mecanismos de obtenção do servidor de controle, os autores usam várias estratégias: uma tabela hash distribuída (DHT) como primeira opção e, se falhar, uma resolução mediante memos na blockchain de Solana. Em outros casos foram aproveitados URLs públicos de eventos do Google Calendar como “dead drops” para recuperar o endereço do payload. O uso dessas camadas de sigilo —DHT, blockchains e recursos públicos — acrescenta complexidade à resposta e ao bloqueio do tráfego malicioso; para entender a gênese e funcionamento de DHT pode ser consultada uma explicação técnica aqui.

Outra novidade é o movimento dos atores para o ecossistema de Model Context Protocol (MCP), onde começaram a publicar pacotes npm que suplantam serviços reputados do âmbito de IA para distribuir código infectado. Pesquisadores do Koi salientaram que, num contexto de desenvolvimento cada vez mais assistido por IA e com alta confiança depositada em servidores MCP, este vetor é preocupante e provavelmente será reproduzido.

Para facilitar a detecção local, a empresa polaca AFINE lançou uma ferramenta de código aberto chamada glassworm-hunter que digitaliza arquivos locais em busca de artefatos ligados à campanha sem fazer pedidos de rede durante a análise. A ferramenta e sua base de indicadores de compromisso estão disponíveis no repositório oficial do GitHub aqui, e AFINE explica sua metodologia neste artigo técnico aqui. O relatório do Aikido sobre a extensão do Chrome e do RAT fornece mais detalhes técnicos e pode ser consultado em seu blog aqui.

Se você é desenvolvedor ou responsável pela segurança, as lições são claras: não confie cegamente em um pacote pelo seu número de downloads; verifique o histórico do publicador, ativa a autenticação forte nas contas de manutenção, assinatura e bloqueia dependências críticas, e realiza revisões de integridade antes de implantar. Além disso, isolar ambientes de desenvolvimento e manter controles de detecção e resposta pode limitar o impacto dessas infra-estruturas ofensivas. Para uma abordagem institucional sobre cadeias de fornecimento de software, convém considerar os guias de organismos oficiais como CISA e NSA sobre segurança na cadeia de abastecimento.

Finalmente, se você usa carteiras de hardware, lembre-se que nunca deve introduzir a frase de recuperação num computador ou numa janela emergente, e que a única forma segura de recuperar acesso é seguindo os processos oficiais do fabricante. As assinaturas legítimas e as atualizações oficiais continuam a ser a barreira mais eficaz contra campanhas que combinam engenharia social e abuso técnico. Manter-se informado, limitar privilégios e validar fontes é hoje a defesa mais sensata contra ameaças como GlassWorm.