Como uma falsa conferência de criptomoedas transformou o Google Docs em isca para malware

Uma conta no X, identificada como @HartmansDoeke, alegou representar a CoinDesk e procurou profissionais associados às conferências de segurança Black Hat e DEF CON. O contato começava, em alguns casos, por respostas públicas e depois migrava para mensagens diretas. Em seguida, o ator apresentava uma suposta conferência de criptomoedas organizada pela CoinDesk e compartilhava um Google Doc como material de planejamento. 1411

O detalhe mais importante é que o documento podia parecer legítimo. O comportamento malicioso vinha de uma interface criada com Google Apps Script e das instruções exibidas por ela. Os relatos disponíveis descrevem uma tentativa de entregar malware, mas não comprovam que o pesquisador da Huntress ou outros alvos tenham instalado os programas. 468

Como a engenharia social funcionava

As primeiras mensagens exploravam o contexto profissional das conferências. Em inglês rudimentar, o impostor perguntava se o pesquisador participaria de outro evento e então mencionava uma conferência fictícia ligada a um conhecido veículo de notícias sobre criptomoedas. Respostas públicas ajudavam a localizar possíveis participantes; as DMs criavam um canal privado para avançar na abordagem. 4510

Quando o alvo demonstrava interesse, o ator enviava um documento que parecia reunir informações de organização do evento. Na conversa pelo X, também fornecia uma suposta chave de criptografia ou descriptografia. A combinação fazia a troca parecer uma atividade normal de planejamento, e não uma tentativa convencional de phishing. 68

A armadilha dentro do Google Docs

Um usuário autenticado do Google que abrisse o arquivo via uma barra lateral personalizada ao lado do documento. Segundo a Huntress, essa interface fazia o material parecer parcialmente criptografado e pedia que o destinatário inserisse a chave recebida na conversa. A chave aparentemente não funcionava, criando um pretexto para que a vítima seguisse as etapas de recuperação sugeridas pela própria barra lateral. 68

As opções seguintes incluíam instruções no estilo ClickFix — uma técnica que tenta convencer a pessoa a copiar e executar comandos — e um caminho para baixar um arquivo. Ambas tinham o objetivo de fazer o destinatário baixar e executar código malicioso. Assim, o documento não era apenas um link para uma página suspeita: a hospedagem legítima do Google e uma interface com aparência nativa do Docs davam ao fluxo um ar de normalidade. 48

Essa é a principal lição do caso: um endereço real de google.com ou um arquivo aberto dentro de um serviço conhecido confirma onde o conteúdo está hospedado, mas não prova que o documento, o script, as instruções ou os downloads sejam seguros.

Quais malwares estavam envolvidos

Os caminhos de entrega variavam conforme o sistema operacional:

• macOS: a campanha tentava distribuir o Atomic macOS Stealer, ou AMOS, um ladrão de informações. Relatos também associam esse caminho a um compartilhamento fraudulento do Dropbox DocSend e a um instalador falsificado. 2
• Windows: a operação envolvia o NetSupport RAT, produto legítimo de suporte e acesso remoto que foi reaproveitado como trojan de acesso remoto. 2
• Alvos de criptomoedas: pesquisadores também identificaram um instalador ou implante falso de carteira Ledger, indicando que credenciais e informações relacionadas a carteiras estavam entre os possíveis objetivos. 2

As evidências disponíveis apontam para payloads e mecanismos de entrega pretendidos, não para um comprometimento confirmado do pesquisador que investigou a campanha.

Como a Huntress investigou o golpe

O pesquisador da Huntress percebeu que a abordagem era suspeita, mas continuou a conversa fingindo colaborar. Com isso, a empresa conseguiu observar as mensagens, receber o documento e registrar como o falso pedido de descriptografia conduzia à execução de malware. O pesquisador não instalou o payload. 1411

A estratégia permitiu visualizar a cadeia completa: a identidade falsa no X, o pretexto da conferência, o Google Doc, a barra lateral do Apps Script, o pedido de uma chave fraudulenta e os caminhos de malware específicos para cada sistema operacional.

O que equipes de segurança devem observar

O episódio mostra por que convites relacionados a conferências merecem o mesmo cuidado que mensagens de phishing recebidas por e-mail — mesmo quando chegam por uma rede social conhecida e usam um serviço legítimo de nuvem.

Sinais de alerta incluem:

• contato não solicitado de uma conta que afirma representar organizadores, patrocinadores ou veículos de comunicação;
• pedido para sair de uma resposta pública e continuar a conversa por DM antes de verificar a identidade por um canal independente;
• documento que exige uma chave, senha ou etapa de “descriptografia” enviada separadamente pelo chat;
• Google Doc com barra lateral personalizada ou prompt interativo incomum que orienta o usuário a baixar software ou colar comandos; e
• carteira digital, ferramenta de acesso remoto ou utilitário de conferência oferecido fora dos canais oficiais confirmados da organização.

Quem tiver seguido as instruções deve isolar o sistema afetado, redefinir credenciais potencialmente expostas, trocar segredos e revisar carteiras de criptomoedas e outras contas sensíveis. 1819

O que os relatos confirmam — e o que não confirmam

Os relatos sustentam os elementos centrais da campanha: a personificação de uma identidade no X, o uso de respostas públicas e DMs, o pretexto de uma falsa conferência de criptomoedas, um Google Doc aprimorado com Apps Script, uma chave de descriptografia falsa, instruções no estilo ClickFix e a tentativa de distribuir malware para macOS e Windows. 1246811

O material fornecido não traz uma declaração verificada do suspeito nem uma resposta do Google. Também não há evidências suficientes para uma comparação específica com campanhas anteriores atribuídas a governos ou a grupos nomeados. Em termos gerais, o episódio segue um padrão conhecido de engenharia social direcionada a profissionais de segurança; sua principal variação foi transformar conteúdo hospedado no Google e uma interface do Apps Script em parte da cadeia de entrega.