Campanha ShadyPanda: Extensões Espionam Milhões de Usuários
Uma extensa campanha de espionagem, denominada ShadyPanda, foi descoberta por pesquisadores da Koi Security, revelando que extensões aparentemente inofensivas para navegadores Chrome e Edge foram secretamente modificadas para coletar dados e espionar usuários. A campanha, que se estende por anos, afetou mais de 4,4 milhões de downloads, transformando essas extensões em ferramentas de vigilância para criminosos.
O Início da Campanha e a Conquista da Confiança dos Usuários
Os primeiros indícios da campanha ShadyPanda surgiram em 2018, com a publicação de extensões que se apresentavam como ferramentas de produtividade ou ofereciam papéis de parede. A estratégia inicial dos criminosos era estabelecer uma operação legítima, ganhando a confiança tanto das plataformas de distribuição quanto dos usuários. Essa abordagem permitiu que as extensões fossem vistas como seguras e confiáveis, um fator crucial para o sucesso da campanha.
Com o tempo, algumas dessas extensões obtiveram reconhecimento nas lojas virtuais, recebendo selos de “Em Destaque” e “Verificado”. Esse sucesso demonstrou a eficácia da estratégia dos criminosos em explorar o processo de análise do Chrome, que se concentra principalmente na avaliação do código no momento da submissão. Ao entenderem essa dinâmica, os criminosos puderam manipular as extensões para fins maliciosos após a aprovação inicial.
Além disso, os criminosos dedicaram tempo para estudar o comportamento dos usuários, monitorando suas atividades por meses e até anos antes de lançar os ataques. Essa análise detalhada permitiu que eles compreendessem como os usuários interagiam com as extensões e identificassem oportunidades para explorar suas vulnerabilidades.
Monetização Passiva e Atividades Fraudulentas
Em 2023, aproximadamente 145 extensões foram utilizadas para realizar pequenas fraudes, com 125 direcionadas ao Edge e 20 ao Chrome. Essas extensões, muitas vezes disfarçadas como provedoras de papel de parede, implementavam um esquema simples, mas eficaz: ao detectar que um usuário estava acessando lojas virtuais como eBay ou Amazon, o código da extensão inseria um link de afiliado próprio. Dessa forma, os criminosos recebiam comissões indevidas, embora os consumidores não fossem diretamente prejudicados.
Simultaneamente a essas fraudes, as extensões também coletavam e vendiam dados de navegação dos usuários, utilizando o Google Analytics para catalogar informações como sites visitados, pesquisas e padrões de clique. Essa prática, realizada sem o consentimento dos usuários, permitiu que os criminosos monetizassem os dados coletados de forma passiva.
A Escalada para Invasões e Sequestro de Navegadores
No início de 2024, a campanha ShadyPanda se tornou mais agressiva, com os criminosos priorizando a invasão remota dos navegadores para roubar dados sensíveis dos usuários. A extensão “Infinity V+” é um exemplo claro desse novo modus operandi. Uma vez ativada, a extensão alterava sutilmente o comportamento da navegação, redirecionando todas as buscas por meio do site “trovi.com”, um domínio malicioso utilizado por criminosos. As palavras e termos utilizados nas buscas eram então vendidos para terceiros, e os resultados exibidos eram manipulados para gerar lucro, inclusive em tempo real, antes mesmo de o usuário pressionar “Enter”.
Além disso, a extensão era capaz de ler os cookies de sites específicos, enviando informações relevantes para outro domínio. Um ID único era criado para cada usuário, permitindo um monitoramento mais preciso de suas atividades.
Execução Remota de Códigos e a Criação de Backdoors
Entre as centenas de extensões falsas, cinco chamaram a atenção dos pesquisadores da Koi Security. Três delas foram publicadas em 2018 e, até meados de 2024, operaram de forma legítima, acumulando cerca de 300 mil instalações antes que os criminosos implementassem atualizações maliciosas para o Edge e o Chrome.
Com as novas versões ativas, as extensões passaram a executar códigos remotos por meio de um “framework”. Esses softwares buscavam instruções em um servidor a cada hora e as executavam com total acesso à API dos navegadores. Esse conjunto de ferramentas, conhecido como “backdoor”, permitia a instalação de ransomware, espionagem e coleta de dados.
Na versão analisada, a falha permitia a coleta e transmissão de dados para os servidores dos agentes do ShadyPanda, incluindo URLs acessadas, histórico de navegação, informações enviadas pelo navegador (HTTP), registros de datas e horários, identificadores únicos (UUID4) e características do navegador, como tipo, versão, idioma, sistema operacional, tamanho da tela e fuso horário.
A persistência da ameaça também foi notada, com os criminosos modificando o código das extensões para evitar a análise dos pesquisadores. No entanto, essas extensões foram removidas das lojas virtuais.
A Continuação da Campanha e as Novas Vítimas
Em 2025, os agentes do ShadyPanda lançaram cinco novas extensões, que permanecem ativas na loja de add-ons do Edge. Essas extensões já acumularam mais de quatro milhões de instalações, com destaque para a “WeTab New Tab Page”, que possui três milhões de downloads. Disfarçada como uma ferramenta de produtividade, a WeTab utiliza recursos complexos de monitoramento e coleta de dados, enviando pacotes extraídos para diversos domínios, incluindo servidores do Baidu e do Google Analytics. Os dados coletados incluem URLs acessadas, histórico de navegação, pesquisas realizadas, cliques do mouse, características do navegador e informações sobre a interação do usuário com cada página.
Como se Proteger de Extensões Maliciosas
Para se proteger de extensões maliciosas, é crucial tratar cada complemento de navegador como um software com amplo acesso aos seus dados. Antes de instalar, verifique o desenvolvedor, leia avaliações recentes e avalie a real necessidade da extensão.
Evite extensões com poucas informações públicas, histórico suspeito de atualizações ou mudanças repentinas de nome. Após a instalação, revise periodicamente a lista de extensões e remova as que não são mais utilizadas. Esteja atento a mudanças inesperadas no comportamento do navegador, como redirecionamentos de busca, anúncios incomuns ou alto consumo de CPU.
Priorize a instalação de extensões apenas nas lojas oficiais do Chrome e Edge, que possuem mecanismos de verificação e remoção.
Esteja sempre atento
Ao seguir estas recomendações, você estará melhor preparado para identificar e evitar extensões maliciosas, protegendo seus dados e sua privacidade online.
Faça download de um antivírus
Para aumentar a sua proteção contra ameaças virtuais, considere instalar um bom antivírus em sua máquina, com ele você estará mais seguro e terá mais chances de navegar sem preocupação.
Perguntas Frequentes sobre a Campanha ShadyPanda
O que é a campanha ShadyPanda?
ShadyPanda é uma campanha de espionagem que utiliza extensões maliciosas para navegadores Chrome e Edge para coletar dados e monitorar a atividade dos usuários.
Como as extensões maliciosas se espalham?
As extensões maliciosas se disfarçam como ferramentas úteis ou de produtividade e são distribuídas por meio das lojas oficiais do Chrome e Edge. Os criminosos exploram a confiança dos usuários e as brechas nos processos de verificação das plataformas.
Quais são os riscos de instalar extensões maliciosas?
As extensões maliciosas podem roubar dados pessoais, monitorar a atividade de navegação, redirecionar buscas, exibir anúncios indesejados e até mesmo instalar ransomware nos dispositivos dos usuários.
Aproveite e proteja-se agora mesmo, clique aqui e veja dicas de como se proteger de ataques cibernéticos.
Fonte: https://www.tecmundo.com.br
